Politique de confidentialité
Dernière mise à jour : 5 août 2026
Document 3 sur 4. Voir le Glossaire pour les termes employés avec une majuscule.
1. Responsable de traitement
Jean-Luc Cadignan, Entrepreneur Individuel, est responsable du traitement des données personnelles collectées sur Karmic. Coordonnées dans les Mentions légales.
2. Données collectées et finalités
Données de compte
Gérées par PublicAuth : adresse email, mot de passe (haché, jamais stocké en clair), nom affiché. Finalité : authentification, exécution du contrat.
Passeport de Confiance
Nom affiché, biographie facultative, valeur des Indices, historique des Actions et Validations. Finalité : fonctionnement du réseau de confiance, exécution du contrat.
Preuves
Fichiers, liens et témoignages associés aux Actions, transmis en connexion chiffrée et stockés sur l'infrastructure de Scaleway SAS (France). Ils ne sont jamais accessibles publiquement par une URL directe : leur consultation passe par un lien temporaire à durée limitée.
Durée de conservation : pendant toute la durée d'activité du compte pour les Actions validées ou en attente ; politique cible de suppression dans les 30 jours pour les Actions définitivement rejetées (automatisation de cette purge en cours de déploiement à la date de rédaction) ; suppression avec le compte en cas de clôture.
Conversations avec l'Assistant IA
L'Assistant IA s'appuie sur des modèles fournis par Mistral AI SAS (France, Union européenne). Conformément à la politique de confidentialité publique de Mistral AI applicable à son API, les données transmises ne sont pas utilisées pour l'entraînement de ses modèles.
L'historique des échanges est conservé pour assurer la continuité de la conversation, tant que le compte est actif, et supprimé avec celui-ci. Ces échanges peuvent, selon ce que l'Utilisateur y indique de sa propre initiative, contenir des données sensibles au sens de l'article 9 du RGPD ; l'Éditeur n'analyse pas activement ces échanges en dehors du fonctionnement normal de l'Assistant. L'Assistant ne réalise aucun profilage et ne prend aucune décision produisant des effets juridiques au sens de l'article 22 du RGPD.
Journal d'audit
Journal horodaté des événements sensibles, chaîné cryptographiquement pour en garantir l'intégrité. Il enregistre l'identifiant de l'Utilisateur, le type d'événement et une référence à la ressource concernée — jamais le contenu d'une conversation avec l'Assistant. Politique cible de conservation : 90 jours (automatisation de la purge en cours de déploiement).
3. Bases légales
- Exécution du contrat (Art. 6.1.b RGPD) : compte, Passeport, Validation Croisée ;
- Intérêt légitime (Art. 6.1.f RGPD) : journal d'audit, sécurité, lutte contre la fraude ;
- Obligation légale (Art. 6.1.c RGPD) : réponse aux demandes d'exercice de droits.
4. Destinataires et transferts
- OVH SAS (France) — hébergement serveur et base de données ;
- Scaleway SAS (France) — stockage des Preuves ;
- Mistral AI SAS (France) — traitement des messages de l'Assistant IA.
Ces trois prestataires sont établis en France. Aucune donnée personnelle n'est transférée hors de l'Union européenne. Les données ne sont ni vendues ni louées à des tiers à des fins commerciales.
5. Vos droits
Conformément aux articles 15 à 22 du RGPD : droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. L'export de vos données et la suppression de votre compte sont disponibles directement depuis votre compte. Pour toute autre demande, écrivez à l'adresse indiquée dans les Mentions légales. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).
6. Sécurité
Mesures en place à la date de rédaction :
- Mots de passe hachés, jamais stockés en clair ;
- Connexions chiffrées (HTTPS) sur l'ensemble du Service ;
- Journal d'audit chaîné cryptographiquement, rendant toute modification a posteriori détectable ;
- Accès aux données restreint aux personnes en ayant besoin ;
- Fichiers de preuve accessibles uniquement via des liens temporaires, jamais par URL publique directe.
Ces mesures évolueront à mesure que la Plateforme grandit ; cette politique sera mise à jour en conséquence.
7. Violations de données
En cas de violation présentant un risque pour les droits et libertés des personnes, l'Éditeur notifiera la CNIL dans les 72 heures (article 33 RGPD) et informera les Utilisateurs concernés si le risque est élevé.
8. Cookies
Karmic n'utilise pas de cookies de suivi publicitaire ni d'analyse d'audience tierce. La session repose sur un jeton technique nécessaire au fonctionnement du Service.
9. Mineurs
Le Service est réservé aux personnes majeures. Aucune donnée n'est collectée sciemment auprès de mineurs.
10. Modification
Cette politique peut être mise à jour ; toute modification substantielle sera notifiée.
11. Volet Entreprise (Karmic RSE)
Qui est responsable de vos données ?
- Votre employeur est responsable du traitement de vos déclarations d'actions de mécénat et de bénévolat : c'est lui qui décide d'utiliser Karmic et de ce qu'il en fait. Karmic agit pour son compte, comme sous-traitant.
- Karmic (Jean-Luc Cadignan, entrepreneur individuel) est responsable de traitement pour votre compte, la sécurité de la plateforme, la facturation de l'entreprise et ses obligations légales.
Pour exercer vos droits sur les déclarations, adressez-vous d'abord à votre employeur ; Karmic lui transmet toute demande reçue.
Ce qui est collecté et pourquoi
| Traitement | Données | Responsable | Base légale | Durée de conservation |
|---|---|---|---|---|
| Déclaration et confirmation des heures | Nom affiché, intitulé, description, date, heures, association, décision et commentaire | Employeur | [À déterminer par l'employeur : généralement l'intérêt légitime de valoriser et prouver les actions] | Durée du contrat + 30 jours, sauf instruction contraire de l'employeur |
| Lien de confirmation pour l'association | Adresse email du référent, nom de l'association, n° RNA facultatif | Employeur | [Idem] | Le lien expire après 30 jours ; l'adresse suit la durée des déclarations |
| Rattachement à l'entreprise | Identifiant, rôle, nom affiché | Employeur | [Idem] | Jusqu'à la fin du rattachement |
| Compte et authentification | Email, mot de passe chiffré | Karmic | Exécution du service | Durée du compte |
| Journal d'audit | Identifiants techniques, type d'événement, date, heures | Employeur / Karmic | [Intérêt légitime : garantir l'intégrité des preuves] | [À fixer — voir points à valider] |
| Facturation du client | Données de l'entreprise et de son contact | Karmic | Contrat et obligation légale comptable | Durée légale de conservation des pièces comptables |
Aucune donnée sensible n'est demandée. Merci de ne pas en saisir dans les champs libres.
Ce que voit votre employeur
Le nom que vous avez choisi, vos actions déclarées dans l'espace Entreprise, leur statut, et des totaux. Jamais les indices de votre Passeport, ni vos conversations avec l'assistant.
Destinataires
Votre employeur (administrateurs RH) ; l'association que vous désignez, qui voit uniquement la demande qui la concerne ; les prestataires techniques de Karmic : OVH (hébergement), Scaleway (stockage), Brevo (envoi des emails aux associations) [liste détaillée dans l'accord de sous-traitance]. Karmic ne vend jamais vos données.
Vos droits
Accès, rectification, effacement, limitation, opposition, portabilité : voir ci-dessus pour savoir à qui vous adresser. Vous pouvez aussi écrire à [contact@karmic.fr]. En cas de désaccord, vous pouvez saisir la CNIL.