Politique de confidentialite

1. Responsable du traitement

Alerion (edite par Lunova (Suisse), identifie par le domaine alerion.app) agit en qualite de responsable du traitement au sens de l'article 4 du RGPD et de l'article 5 de la LPD suisse.

Contact : [email protected]

2. Donnees traitees et finalites

• Identifiants de compte (email, nom) — finalite : authentification et gestion du compte.
• Donnees de la base de connaissance (notes KB) — finalite : fourniture du service.
• Journaux d'audit (identifiants opaques, horodatages) — finalite : securite, tracabilite, obligations legales.
• Donnees de facturation (via Stripe) — finalite : execution du contrat.

Avant tout envoi au moteur d'analyse (Mistral AI), les contenus susceptibles de contenir des donnees identifiantes font l'objet d'une pseudonymisation (masquage reversible au sens de l'article 4.5 du RGPD), et non d'une anonymisation irreversible.

3. Base legale

Le traitement repose sur l'execution du contrat de service (RGPD art. 6.1.b), le consentement (RGPD art. 6.1.a) pour les cookies analytiques, et l'obligation legale (RGPD art. 6.1.c) pour la conservation des pieces comptables.

4. Duree de conservation

• Journaux d'audit : 1 an actif, 6 ans archive.
• Analytiques produit : 2 ans.
• Notes de support : 3 ans.
• Logs applicatifs : 90 jours.

5. Vos droits

Vous disposez d'un droit d'acces, de rectification, d'effacement, de limitation, d'opposition et a la portabilite de vos donnees (RGPD art. 15 a 22 / LPD art. 25 et suivants).

Exercice : via la page /settings/privacy ou par email a [email protected].

6. Sous-traitants

Nous faisons appel aux sous-traitants suivants, chacun encadre par un accord de traitement des donnees (DPA). Cette liste est la source de reference partagee avec notre Trust Center et notre registre des traitements (RGPD art. 30).

• Jelastic / Virtuozzo — Application hosting, PostgreSQL database, compute infrastructure (Geneva, Switzerland (CH)).
• Infomaniak Network SA — Object storage (S3-compatible backups) and domain hosting (Geneva, Switzerland (CH)).
• Mistral AI — LLM inference on pseudonymised content — EU endpoint only (api.mistral.ai) (European Union (FR)).
• Brevo (Sendinblue SAS) — Transactional email transport (billing notices, approvals, RGPD notices, digest) (European Union (FR)).
• Zoho Corporation — CRM (Zoho CRM), customer support (Zoho Desk), live chat (SalesIQ) (European Union (EU residency — zohoapis.eu)).
• Zitadel (CAOS Ltd.) — Identity provider — authentication (OIDC), user & session management (Switzerland / European Union (EU-hosted instance)).
• Functional Software, Inc. (Sentry) — Error tracking, performance monitoring, operational alerting (European Union (sentry.io EU region)).
• PostHog, Inc. — Product analytics — pseudonymised tenant id only, cookieless, consent-gated (European Union (Frankfurt, DE — AWS eu-central-1)).
• Stripe, Inc. — Payment processing — billing and subscription management (opaque tenant id only) (United States (PCI-DSS), sous CCT/SCCs).
• Cloudflare, Inc. — CDN, DDoS protection, WAF, TLS termination, Turnstile bot-detection (Global edge network (EU data processing), sous CCT/SCCs).
• GitHub, Inc. (Microsoft) — Source code hosting, CI/CD pipelines, dependency alerts (United States, sous CCT/SCCs).

7. Transferts internationaux

L'essentiel de la chaine de traitement (hebergement, base de donnees, LLM, identite, email, supervision, analytics) est localise en Suisse ou dans l'Union europeenne. La Suisse beneficie d'une decision d'adequation de la Commission europeenne : les traitements qui y sont hebergees ne constituent pas un transfert vers un pays tiers.

Certains sous-traitants traitent toutefois des donnees hors UE/EEE (Etats-Unis ou reseau edge mondial). Ces transferts sont encadres par les Clauses Contractuelles Types (CCT/SCCs) de la Commission europeenne (RGPD art. 46), en complement des mesures de l'article 44 et suivants :

• Stripe, Inc. (United States (PCI-DSS)) — Payment processing — billing and subscription management (opaque tenant id only). Base du transfert : CCT/SCCs (art. 46).
• Cloudflare, Inc. (Global edge network (EU data processing)) — CDN, DDoS protection, WAF, TLS termination, Turnstile bot-detection. Base du transfert : CCT/SCCs (art. 46).
• GitHub, Inc. (Microsoft) (United States) — Source code hosting, CI/CD pipelines, dependency alerts. Base du transfert : CCT/SCCs (art. 46).

Aucune donnee personnelle brute n'est transmise a Stripe (seul un identifiant opaque de tenant circule) ni au moteur LLM (les contenus sont pseudonymises au prealable).

8. Autorite de controle et reclamations

Vous pouvez saisir la CNIL (France, www.cnil.fr) ou le PFPDT (Suisse, www.edoeb.admin.ch ) en cas de desaccord persistant.

9. Contact vie privee et protection des donnees

Pour toute demande relative a vos donnees personnelles (acces, rectification, effacement, opposition, portabilite), vous pouvez ecrire directement a notre contact vie privee (responsable de la protection des donnees) via le formulaire ci-dessous ou par email a [email protected].