Politique de confidentialité

1. Responsable de traitement

Chaque franchise utilisatrice de Sturi est responsable de traitementau sens du RGPD pour les données de ses utilisateurs, apporteurs d'affaires et clients.

CREAPHI agit en qualité de sous-traitantau sens de l'article 28 du RGPD, en tant qu'éditeur et hébergeur de la solution.

Contact DPO : dpo@creaphi.fr

2. Données collectées

2.1 Données des utilisateurs (salariés des franchises)

• Identité : nom, prénom
• Contact : email professionnel, téléphone
• Données professionnelles : rôle, agence de rattachement
• Authentification : identifiant de connexion, MFA

2.2 Données des apporteurs d'affaires

• Identité : nom, prénom, date de naissance
• Contact : email, téléphone, adresse postale
• Données professionnelles : SIRET, raison sociale (si professionnel)
• Données financières : IBAN, BIC (chiffrés)

2.3 Données des clients finaux

• Nom du client (via les fiches de vente)
• Immatriculation du véhicule

2.4 Données techniques

• Journaux d'audit : actions effectuées, horodatage
• Documents générés : factures, bordereaux, contrats (PDF)

3. Finalités et bases légales

4. Durée de conservation

Au-delà de 10 ans, les données personnelles sont automatiquement anonymisées par un processus mensuel. Les données anonymisées ne permettent plus d'identifier les personnes concernées.

5. Mesures de sécurité

• Chiffrement au repos (DynamoDB, S3) et en transit (HTTPS/TLS)
• Chiffrement applicatif des IBAN/BIC (clé dédiée, rotation automatique)
• Authentification multi-facteurs (MFA TOTP) configurable par franchise
• Isolation des données par franchise (architecture multi-tenant)
• 4 niveaux de rôles avec permissions granulaires
• Journalisation automatique de toutes les actions (audit trail)
• Masquage des IBAN dans l'interface (4 derniers caractères uniquement)
• Hébergement exclusif en Union Européenne (AWS Paris)

6. Sous-traitants

Aucun transfert de données hors de l'Union Européenne n'est effectué.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (Art. 15) : obtenir une copie de vos données personnelles. Disponible directement dans l'application via le menu Paramètres > RGPD.
• Droit de rectification (Art. 16) : corriger des données inexactes.
• Droit à l'effacement (Art. 17) : demander la suppression de vos données. Limitation : les pièces comptables doivent être conservées 10 ans (Art. L.123-22 Code de commerce).
• Droit à la limitation (Art. 18) : geler le traitement de vos données.
• Droit à la portabilité (Art. 20) : recevoir vos données dans un format structuré (JSON).
• Droit d'opposition (Art. 21) : vous opposer au traitement de vos données.

Pour exercer vos droits, contactez votre administrateur de franchise ou écrivez à dpo@creaphi.fr.

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL : www.cnil.fr

8. Cookies et monitoring technique

Sturi utilise uniquement des cookies techniques strictement nécessaires au fonctionnement de l'application :

• Cookies d'authentification (session Cognito)
• Cookies de préférences locales (thème, langue)

Aucun cookie publicitaire, de suivi ou d'analyse tiers n'est utilisé. Le consentement n'est donc pas requis (Art. 82 Loi Informatique et Libertés).

Monitoring technique (Real User Monitoring)

Un service de monitoring technique (AWS CloudWatch RUM) collecte de manière anonyme des données de performance et de stabilité de l'application :

• Performances de chargement des pages (Core Web Vitals)
• Erreurs techniques JavaScript
• Type et version du navigateur

Aucune donnée personnelle n'est collectéepar ce service. Aucun cookie n'est déposé. Les données sont stockées sur AWS CloudWatch en région Paris (eu-west-3) et conservées 30 jours.

Mesure d'audience (Matomo Analytics)

Les pages publiques du site (page d'accueil, connexion, mentions légales, politique de confidentialité, mot de passe oublié) utilisent Matomo, un outil de mesure d'audience auto-hébergé par CREAPHI sur une infrastructure en France.

Matomo est configuré pour bénéficier de la dispense de consentement CNILapplicable aux outils de mesure d'audience :

• Aucun cookie n'est déposé sur votre terminal (mode cookieless)
• Les adresses IP sont anonymisées avant stockage
• Les données ne sont pas croisées avec d'autres traitements
• Les données ne sont jamais cédées à des tiers
• Conservation limitée à 25 mois maximum

Données collectées sur les pages publiques uniquement :

• URL et titre de la page consultée
• Page d'origine (referrer)
• Type et version du navigateur, résolution d'écran
• Pays approximatif (déduit de l'IP anonymisée)

Aucune mesure d'audience n'est effectuée dans l'application authentifiée : Matomo est volontairement désactivé sur toutes les pages contenant des données utilisateurs (fiches, apporteurs, commissions, tableau de bord…) afin de respecter le principe de minimisation.

9. Modifications

CREAPHI se réserve le droit de modifier la présente politique de confidentialité. Les utilisateurs seront informés de toute modification substantielle via une notification dans l'application.