Politique de confidentialité
Traitement des données personnelles conformément au RGPD (Règl. (UE) 2016/679) et à la loi Informatique et Libertés.
1. Responsable de traitement
Le responsable de traitement est l'éditeur de BROS (voir mentions légales). Contact pour toute question relative aux données : contact@blackroadmusic.fr.
2. Données collectées
- Compte : adresse email, mot de passe (chiffré par le fournisseur d'authentification).
- Label : nom, forme juridique, SIRET, adresse, représentant légal (saisis pour générer les contrats).
- Artistes, contrats, sorties : données saisies par l'utilisateur, y compris des données de tiers (artistes).
- Finances : relevés de royalties importés (manuellement ou via Gmail), répartitions.
- IA : contenus envoyés à l'assistant et mémoire conversationnelle.
- Usage : journaux techniques nécessaires à la sécurité et au bon fonctionnement.
3. Finalités et bases légales
- Fourniture du service (gestion de label, contrats, royalties, subventions) — exécution du contrat.
- Génération et analyse de documents par IA — exécution du contrat.
- Import de relevés depuis Gmail — consentement (révocable à tout moment).
- Sécurité, prévention de la fraude, amélioration du service — intérêt légitime.
- Facturation — obligation légale.
4. Sous-traitants et transferts hors UE
Pour fournir le service, des sous-traitants (art. 28 RGPD) sont mobilisés :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Supabase | Hébergement base de données et authentification | UE (région à confirmer) |
| Vercel | Hébergement et exécution de l'application | UE / hors UE selon région |
| Anthropic (Claude) | Génération et analyse de documents par IA | États-Unis (hors UE — transfert à encadrer) |
| Stripe | Paiement des abonnements | UE / États-Unis |
| Resend | Envoi des emails transactionnels | États-Unis (hors UE) |
| Connexion OAuth et import optionnel de relevés Gmail | États-Unis (hors UE) |
Certains traitements impliquent un transfert hors Union européenne (notamment l'IA et les emails). Ces transferts doivent être encadrés par des clauses contractuelles types et un accord de sous-traitance. [À COMPLÉTER / VALIDER : DPA et garanties de transfert signés].
5. Durées de conservation
Les données sont conservées le temps de la relation contractuelle puis archivées selon les obligations légales. [À COMPLÉTER : durées précises par catégorie — compte, contrats, factures (10 ans), logs].
6. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité (art. 15 à 22 RGPD).
Accès et portabilité (art. 15 et 20) — en libre-service : si vous êtes titulaire d'un label, téléchargez l'intégralité de vos données au format JSON depuis Réglages → Mes données (RGPD). Si vous êtes artiste, client studio ou ingénieur, un bouton « Télécharger mes données » est disponible en bas de votre portail personnel.
Pour les autres droits (rectification, effacement, limitation, opposition) : contact@blackroadmusic.fr. Vous pouvez introduire une réclamation auprès de la CNIL.
Lorsque vous saisissez des données concernant des tiers (artistes, signataires), vous vous engagez à les informer de ce traitement.
7. Sécurité
Les données sont isolées par label (cloisonnement multi-locataire), les jetons d'accès tiers (Gmail) sont chiffrés, et les accès sont restreints. Aucun système n'étant infaillible, ces mesures sont une obligation de moyens.
8. Cookies
Le service n'utilise que des cookies strictement nécessaires (authentification, session) ; aucun traceur publicitaire ni de mesure d'audience tiers n'est déposé. Aucune bannière de consentement n'est donc requise en l'état.
Document à faire valider par un avocat / DPO avant exploitation.