Politique de confidentialité
Traitement des données personnelles conformément au RGPD (Règl. (UE) 2016/679) et à la loi Informatique et Libertés.
1. Responsable de traitement
Le responsable de traitement est l'éditeur de BROS (voir mentions légales). Contact pour toute question relative aux données : contact@blackroadmusic.fr.
2. Données collectées
- Compte : adresse email, mot de passe (chiffré par le fournisseur d'authentification).
- Label : nom, forme juridique, SIRET, adresse, représentant légal (saisis pour générer les contrats).
- Artistes, contrats, sorties : données saisies par l'utilisateur, y compris des données de tiers (artistes).
- Finances : relevés de royalties importés (manuellement ou via Gmail), répartitions.
- IA : contenus envoyés à l'assistant et mémoire conversationnelle.
- Usage : journaux techniques nécessaires à la sécurité et au bon fonctionnement.
3. Finalités et bases légales
- Fourniture du service (gestion de label, contrats, royalties, subventions) — exécution du contrat.
- Génération et analyse de documents par IA — exécution du contrat.
- Import de relevés depuis Gmail — consentement (révocable à tout moment).
- Sécurité, prévention de la fraude, amélioration du service — intérêt légitime.
- Facturation — obligation légale.
4. Sous-traitants et transferts hors UE
Pour fournir le service, des sous-traitants (art. 28 RGPD) et destinataires sont mobilisés :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Supabase | Base de données, authentification et stockage des fichiers | Union européenne — Paris (AWS eu-west-3) |
| Vercel | Hébergement et exécution de l'application | Exécution à Paris ; fichiers statiques diffusés par un réseau mondial ; société aux États-Unis |
| Anthropic (Claude) | Génération et analyse de documents par IA | États-Unis |
| Stripe | Paiement des abonnements et facturation | Irlande (UE), avec transferts vers les États-Unis |
| Resend | Envoi des e-mails transactionnels | Envoi depuis l'Irlande (UE) ; société aux États-Unis |
| Connexion, import des relevés depuis Gmail et synchronisation de l'agenda, à votre demande | Union européenne et États-Unis | |
| Spotify | Recherche des profils publics d'artistes (nom d'artiste ou de titre transmis) | Suède (UE) |
La base de données et les fichiers sont hébergés dans l'Union européenne (Paris). Certains traitements impliquent un transfert hors Union européenne, principalement vers les États-Unis (analyse par IA, paiement). Supabase, Resend, Stripe et Anthropic encadrent ces transferts par un accord de traitement des données intégré à leurs conditions, incluant les clauses contractuelles types de la Commission européenne. [À RÉGLER : l'accord de traitement de Vercel ne s'applique qu'à ses offres Pro et Enterprise.]
5. Durées de conservation
Pendant l’essai, les données sont conservées 14 jours. Si aucun abonnement n’est souscrit, l’accès est fermé puis les données de l’espace sont supprimées 5 jours plus tard. [À VALIDER : conservation après la fin d’un abonnement payant — aujourd’hui sans suppression automatique ; durée à fixer.] Les données qui doivent être conservées pour répondre à une obligation légale, notamment les pièces de facturation, suivent leur durée légale propre.
- Factures : émises et conservées par Stripe ; les pièces comptables sont gardées dix ans (article L123-22 du Code de commerce).
- Journal d'activité (consultations, téléchargements, signatures, avec l'adresse IP) : conservé tant que l'espace existe, comme preuve des opérations, et supprimé avec lui.
- Compteurs de protection contre les abus : 24 heures.
- Journaux techniques des hébergeurs : un jour au plus chez Vercel, sept jours au plus chez Supabase.
Un journal technique de suppression, sans nom ni contenu du label, est conservé afin de détecter et reprendre un effacement incomplet. L’identifiant du compte en est retiré dès que la suppression aboutit.
6. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité (art. 15 à 22 RGPD).
Accès et portabilité (art. 15 et 20) — en libre-service : si vous êtes titulaire d'un label, téléchargez l'intégralité de vos données au format JSON depuis Réglages → Mes données (RGPD). Si vous êtes artiste, client studio ou ingénieur, un bouton « Télécharger mes données » est disponible en bas de votre portail personnel.
Pour les autres droits (rectification, effacement, limitation, opposition) : contact@blackroadmusic.fr. Vous pouvez introduire une réclamation auprès de la CNIL.
Lorsque vous saisissez des données concernant des tiers (artistes, signataires), vous vous engagez à les informer de ce traitement.
7. Sécurité
Les données sont isolées par label (cloisonnement multi-locataire), les jetons d'accès tiers (Gmail) sont chiffrés, et les accès sont restreints. Aucun système n'étant infaillible, ces mesures sont une obligation de moyens.
8. Cookies
Le service n'utilise que des cookies strictement nécessaires (authentification, session) ; aucun traceur publicitaire ni de mesure d'audience tiers n'est déposé. Aucune bannière de consentement n'est donc requise en l'état.
Document à faire valider par un avocat / DPO avant exploitation.