HarmonIA — appharmonia.com
Politique de Confidentialité
Version 1.0 — Entrée en vigueur le 1er mars 2026 — Alignée RGPD + EU AI Act
1. Responsable de traitement
Le responsable du traitement des données personnelles collectées via la plateforme HarmonIA est :
2. Données collectées
Données d'inscription
| Donnée | Description | Base légale | Conservation |
|---|---|---|---|
| Nom et prénom | Identité | Exécution du contrat (Art. 6.1.b) | Compte + 3 ans |
| Connexion, communications | Exécution du contrat (Art. 6.1.b) | Compte + 3 ans | |
| Mot de passe (haché) | Sécurisation | Exécution du contrat (Art. 6.1.b) | Durée du compte |
| Consentement RGPD | Preuve légale | Obligation légale (Art. 6.1.c) | 5 ans |
Données de profil professionnel
| Donnée | Description | Base légale | Conservation |
|---|---|---|---|
| Rôle professionnel | Personnalisation | Consentement (Art. 6.1.a) | Durée du compte |
| Secteur d'activité | Personnalisation | Consentement (Art. 6.1.a) | Durée du compte |
| Taille entreprise | Personnalisation | Consentement (Art. 6.1.a) | Durée du compte |
| Expérience IA | Personnalisation | Consentement (Art. 6.1.a) | Durée du compte |
Données de progression et d'apprentissage
| Donnée | Description | Base légale | Conservation |
|---|---|---|---|
| Résultats d'audit | Scores par axe éthique | Exécution du contrat (Art. 6.1.b) | 30 jours |
| Progression modules | Leçons, temps passé | Exécution du contrat (Art. 6.1.b) | Compte + 3 ans |
| Scores quiz | Résultats et tentatives | Exécution du contrat (Art. 6.1.b) | Compte + 3 ans |
| Certificats | Date, score, identifiant | Exécution du contrat (Art. 6.1.b) | Compte + 3 ans |
| Historique chat IA | Conversations tuteur | Exécution du contrat (Art. 6.1.b) | 12 mois glissants |
Données de paiement
| Donnée | Description | Base légale | Conservation |
|---|---|---|---|
| Statut abonnement | Plan, collaborateurs, statut | Exécution du contrat (Art. 6.1.b) | Durée + 5 ans |
| Identifiant client Mollie | Référence Mollie (customer/mandat) | Exécution du contrat (Art. 6.1.b) | Durée + 5 ans |
| Coordonnées de facturation | Raison sociale, adresse, N° TVA | Obligation légale (Art. 6.1.c) | 10 ans |
| Historique paiements & factures | Montants, dates, factures | Obligation légale (Art. 6.1.c) | 10 ans |
⚠️ Nous ne stockons aucune donnée bancaire (carte, IBAN). Ces données sont traitées exclusivement par Mollie (prestataire de paiement établi aux Pays-Bas, UE), certifié PCI DSS.
3. Personnalisation par intelligence artificielle
HarmonIA utilise les modèles Anthropic Claude pour :
- Générer des scénarios de formation personnalisés adaptés à votre profil ;
- Fournir un tuteur IA conversationnel guidant votre apprentissage ;
- Produire des recommandations de conformité EU AI Act contextualisées ;
- Générer des documents de gouvernance IA personnalisés.
Données transmises à Anthropic : uniquement votre profil professionnel — secteur, rôle, taille d'entreprise, niveau d'expérience IA, outil d'IA principal. Aucune donnée directement identifiante (nom, prénom, adresse email) n'est transmise.
Conformément à l'article 22 du RGPD, HarmonIA n'applique aucune décision automatisée à portée juridique. Conformément à l'article 50 de l'EU AI Act, vous êtes informé que vous interagissez avec un système d'IA.
Supervision humaine (EU AI Act) : Les contenus générés par nos assistants IA (NOVA, ARIA, LÉON, MAX) sont produits automatiquement et ne constituent pas un avis juridique. HarmonIA maintient une supervision humaine sur les contenus pédagogiques. Tout contenu IA peut être signalé à hello@appharmonia.com.
4. Sous-traitants
| Sous-traitant | Rôle | Localisation | Garanties |
|---|---|---|---|
| Supabase, Inc. | Base de données, auth | Serveurs UE (Irlande — eu-west-1) | DPA RGPD, CCT |
| Vercel, Inc. | Hébergement application | Serveurs EU | DPA RGPD, CCT |
| Mollie B.V. | Paiements & facturation | UE (Pays-Bas) | DPA RGPD, PCI DSS L1 |
| HubSpot, Inc. | CRM, nurturing commercial | US | DPA, CCT UE-US |
| Resend, Inc. | Emails transactionnels | US | DPA RGPD, CCT |
| Anthropic, PBC | Modèles IA | US | DPA, CCT UE-US |
| Axeptio SAS | Gestion du consentement (CMP) | EU (France) | DPA RGPD |
| Google Ireland Ltd | Mesure d'audience (Google Tag Manager) — sur consentement | EU + US | DPA, CCT — Consent Mode |
| Meta Platforms Ireland Ltd | Pixel publicitaire / retargeting — sur consentement | EU + US | DPA, CCT |
| Functional Software, Inc. (Sentry) | Supervision technique ; Session Replay sur consentement | US | DPA, CCT UE-US |
Les transferts vers les États-Unis sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne et, le cas échéant, par le Data Privacy Framework UE-US.
5. Vos droits RGPD
| Droit | Article RGPD | Comment l'exercer |
|---|---|---|
| Accès | Art. 15 | Email dpo@appharmonia.com |
| Rectification | Art. 16 | Depuis votre profil ou email dpo@appharmonia.com |
| Effacement | Art. 17 | Depuis les paramètres ou email dpo@appharmonia.com |
| Limitation | Art. 18 | Email dpo@appharmonia.com |
| Portabilité | Art. 20 | Email dpo@appharmonia.com |
| Opposition | Art. 21 | Email dpo@appharmonia.com |
| Retrait du consentement | Art. 7 | Depuis votre profil |
Délai de réponse : 1 mois maximum (Art. 12.3 RGPD). En cas de réponse insatisfaisante, vous pouvez saisir la CNIL sur cnil.fr.
6. Cookies & traceurs
Notre bandeau de consentement (Axeptio) recueille votre choix avant tout dépôt de traceur non essentiel. Aucun traceur soumis à consentement ne se déclenche avant votre acceptation, et « Refuser » bloque tout aussi simplement qu'« Accepter ». Vous pouvez modifier ou retirer votre consentement à tout moment via le lien (présent en pied de page).
Cookies strictement nécessaires (sans consentement — base légale : intérêt légitime)
| Cookie / traceur | Finalité | Durée |
|---|---|---|
sb-access-token / sb-refresh-token | Session d'authentification (Supabase) | Session / 7 jours |
axeptio_cookies, axeptio_authorized_vendors | Mémorisation de vos choix de consentement (Axeptio) | 12 mois |
harmonia_pending_checkout (localStorage) | Panier temporaire avant paiement | 10 minutes |
Traceurs soumis à votre consentement (base légale : consentement — Art. 6.1.a RGPD)
| Traceur | Finalité | Éditeur / durée |
|---|---|---|
| Google Tag Manager | Mesure d'audience et pilotage des tags | Google — jusqu'à 13 mois |
| Pixel Facebook (_fbp) | Mesure et retargeting publicitaire | Meta — jusqu'à 3 mois |
| HubSpot (hubspotutk, __hstc, __hssc, __hssrc, messagesUtk) | Mesure d'audience & CRM (portail EU — eu1) | HubSpot — jusqu'à 13 mois |
| Sentry Session Replay | Rejeu de session (diagnostic technique, saisies masquées) | Sentry (US) — 90 jours |
La supervision technique des erreurs (Sentry, hors Session Replay) fonctionne en intérêt légitime, sans donnée directement identifiante (IP non collectée, adresses email masquées avant envoi). Les transferts hors UE (Google, Meta, Sentry) sont encadrés par les Clauses Contractuelles Types.
7. Sécurité
- Chiffrement en transit : HTTPS/TLS sur toutes les communications ;
- Chiffrement au repos : données stockées chiffrées chez Supabase ;
- Mots de passe hachés (bcrypt), authentification JWT ;
- Row Level Security (RLS) — chaque utilisateur n'accède qu'à ses propres données ;
- Clés API et secrets jamais exposés côté client.
8. Durées de conservation des données
Conformément à l'article 5(1)(e) du RGPD, les données personnelles sont conservées uniquement le temps nécessaire aux finalités pour lesquelles elles sont collectées, puis supprimées automatiquement.
| Catégorie de données | Durée de conservation | Base légale |
|---|---|---|
| Données de compte (profil, email) | Durée de l'abonnement + 3 ans | Exécution du contrat |
| Sessions et résultats d'audit (nominatifs) | 30 jours après la fin de l'audit | Exécution du contrat |
| Réponses d'audit anonymisées (profil seul, sans identité) | Sans limite — donnée non personnelle | Intérêt légitime (statistiques) |
| Progression dans les modules | Durée de l'abonnement + 3 ans | Exécution du contrat |
| Attestations et certificats | Durée de l'abonnement + 3 ans | Preuve de formation (Art. 4 EU AI Act) |
| Logs d'interaction IA | 1 an | Intérêt légitime (amélioration service) |
| Journal d'activité administrateur | 5 ans | Obligation légale (comptable/juridique) |
| Enquêtes de satisfaction (NPS) | 2 ans | Intérêt légitime (qualité service) |
| Sessions audit anonymes | 6 mois | Consentement |
Une purge automatique est exécutée quotidiennement pour supprimer les données ayant atteint leur date d'expiration.
9. Violation de données personnelles (Art. 33-34 RGPD)
En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, HarmonIA s'engage à :
- Notifier la CNIL dans un délai de 72 heures conformément à l'article 33 du RGPD ;
- Vous en informer sans délai injustifié si le risque est élevé, conformément à l'article 34 du RGPD.
Pour signaler une incident de sécurité ou une fuite de données : hello@appharmonia.com (objet : « Incident sécurité »).
10. Contact — Délégué à la Protection des Données (DPO)
Zaheda Taky — DPO
HARMONIA SAS — SIRET 102 533 932 00012
90 B rue Roger Payet, 97438 Sainte-Marie, La Réunion, France
Email : dpo@appharmonia.com
Pour toute demande relative à vos données personnelles (accès, rectification, effacement, portabilité), adressez votre email à dpo@appharmonia.com avec pour objet : « Demande RGPD ».
Pour le support technique et général : hello@appharmonia.com.
© 2026 HARMONIA SAS — SIRET 102 533 932 00012