Politique de confidentialité

Paille.io accorde une importance primordiale à la protection de la vie privée. La présente Politique décrit, en toute transparence (art. 12 à 14 du RGPD), les traitements de données à caractère personnel réalisés dans le cadre du Service, leurs finalités, bases légales, durées, destinataires, ainsi que les droits des personnes concernées et leurs modalités d'exercice. Elle se lit en complément des CGV et de la Charte de sécurité.

Le responsable du traitement est Charles J., personne physique (voir les mentions légales), en attendant l’immatriculation de la société. Pour toute question ou exercice de droits : contact@paille.io. En l'absence de désignation obligatoire d'un DPO (art. 37 RGPD), un référent Protection des données est joignable à cette adresse.

• Identité / compte : prénom, nom, adresse email, mot de passe (haché), préférences.
• Données de contrats : fournisseurs, montants, échéances, documents téléversés (contrats, CGU).
• Boîte mail connectée (facultatif, sur votre accord, lecture seule, révocable) : pour détecter vos abonnements et suivre vos démarches, Paille lit les emails de facture, d'abonnement et de démarche (commande, résiliation, dernière facture, remboursement) venant de fournisseurs. Les emails ne sont pas conservés : seules les informations du contrat et les alertes que Paille en tire le sont. L'accès est chiffré et supprimé à la déconnexion.
• Résiliation : nom, prénom, adresse postale et références du contrat, pour pré-remplir la lettre de résiliation que vous envoyez vous-même.
• Techniques : adresse IP, navigateur/OS, pages consultées, journaux ; mesure d'audience avec votre accord (PostHog, Google Analytics).

• Fourniture du Service (compte, contrats, résiliations) : exécution du contrat (art. 6.1.b) ; durée de l'abonnement puis suppression sous 30 jours (ou 3 ans d'inactivité).
• Historique des démarches de résiliation : intérêt légitime (6.1.f) ; 5 ans.
• Marketing, notifications, alertes, connexion DSP2 : consentement (6.1.a) ; jusqu'au retrait.
• Sécurité, prévention de la fraude, amélioration : intérêt légitime (6.1.f) ; journaux 90 jours, analytics 13 mois glissants (reco CNIL).
• Liste d'attente : consentement (6.1.a) ; jusqu'à 12 mois après l'ouverture de l'application, et au plus 3 ans après l'inscription. Newsletter : jusqu'à la désinscription, puis suppression sous 30 jours ; une inscription jamais confirmée est supprimée après 30 jours.
• Messages envoyés à Paille (formulaire de contact, e-mail) : intérêt légitime (6.1.f) ; 12 mois. Candidatures : mesures précontractuelles (6.1.b) ; 2 ans. Ces suppressions sont automatiques.

Les données sont destinées aux équipes habilitées de Paille.io et à ses sous-traitants, chacun lié par un accord de traitement conforme à l'art. 28 RGPD (voir le registre des sous-traitants). Les données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales.

Les données de l'espace client sont hébergées en Europe (Supabase à Paris). Lorsqu'un sous-traitant implique un transfert hors UE (Resend, fournisseurs d'IA Google, OpenAI et Anthropic, et pour la mesure d'audience acceptée par le visiteur : PostHog, Google Analytics), celui-ci est encadré par le cadre de protection des données entre l'UE et les États-Unis (décision d'adéquation du 10 juillet 2023) pour les entreprises certifiées, ou par les Clauses Contractuelles Types de la Commission (décision 2021/914/UE) et, le cas échéant, des mesures supplémentaires (art. 44 à 49 RGPD). Aucune donnée personnelle n'est confiée à une offre d'IA qui autorise la réutilisation des contenus ; les messages que vous envoyez à Paille ne sont transmis à un fournisseur d'IA qu'après masquage de vos coordonnées (adresse e-mail, téléphone, numéros de client ou de contrat).

Le Service met en œuvre des traitements analytiques (score de gaspillage, détection d'abonnements inutilisés, suggestions de l'assistant IA). Ces traitements constituent une aide à la décision : ils ne produisent pas d'effet juridique ni ne vous affectent de manière significative de façon automatisée au sens de l'art. 22 RGPD, la décision d'agir (résilier, changer d'offre) demeure la vôtre. Vous pouvez demander des explications sur la logique appliquée et contester tout résultat.

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, du droit de retirer votre consentement à tout moment, et de définir des directives post-mortem. Ces droits s'exercent à contact@paille.io, avec justificatif d'identité si nécessaire.

Paille.io répond dans un délai d'un mois (prolongeable de deux mois en cas de complexité). En cas de difficulté, vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris, cnil.fr).

• Strictement nécessaires : session d'authentification (Supabase), préférences, protection CSRF (exemptés de consentement).
• Mesure d'audience (PostHog, Google Analytics) : déposés seulement avec votre accord (6.1.a), recueilli par le bandeau et redemandé tous les 6 mois ; cookies de 13 mois au plus ; fonctions publicitaires et signaux Google désactivés.

Aucun cookie publicitaire, de reciblage ou de réseau social tiers n'est déposé sans consentement préalable. Un paramétrage est accessible à tout moment.

Paille.io met en œuvre des mesures techniques et organisationnelles appropriées (art. 32 RGPD) : chiffrement en transit et au repos, cloisonnement multi-tenant, authentification renforcée, journalisation, tests d'intrusion. Le détail figure dans la Charte de sécurité et de protection des données.

Le Service n'est pas destiné aux mineurs de moins de 15 ans. Aucune donnée n'est sciemment collectée les concernant ; toute donnée identifiée comme telle est supprimée.

En cas de violation susceptible d'engendrer un risque pour vos droits et libertés, Paille.io notifie la CNIL dans les 72 heures (art. 33) et, lorsque le risque est élevé, informe les personnes concernées dans les meilleurs délais (art. 34).

La présente Politique peut être mise à jour. Toute modification substantielle est notifiée par email au moins 15 jours avant son entrée en vigueur. La date de dernière mise à jour figure en en-tête et cette page reste toujours accessible.