Politique de confidentialité

Conforme au RGPD · Dernière mise à jour : Août 2026

1. Responsable du traitement

Le responsable du traitement des données à caractère personnel collectées via Maestro est :

• Société : The Slumber Lab (SAS) - RCS Paris 999 570 963
• Adresse : 30 boulevard de Sébastopol, 75004 Paris, France
• Contact pour les questions de confidentialité : [email protected]

2. Données que nous collectons

2.1 Données d'inscription

• Email professionnel (obligatoire, sert d'identifiant unique)
• Mot de passe (haché bcrypt + salt, jamais stocké en clair)
• Prénom, nom, nom du commerce (fournis lors de l'inscription)

2.2 Données d'intégrations tierces

• Clés API et tokens d'accès (Shopify, SumUp, Zettle, Square, Lightspeed, Pennylane, PrestaShop, WooCommerce…) : chiffrés via AES-GCM-256 dans votre navigateur avec une clé dérivée de votre mot de passe. Nous n'avons jamais accès à ces clés en clair.
• Métadonnées non-secrètes associées : URL de boutique, identifiants vendeurs publics, marketplace sélectionnée.

2.3 Données métier

• Catalogue produits saisi ou importé via vos intégrations
• Mouvements de stock et historique des ventes
• Préférences utilisateur (langue, fuseau horaire, plan d'abonnement)

2.4 Logs techniques et audit

• Date et heure de connexion, adresse IP, user agent du navigateur
• Actions sensibles (création/révocation de clé API, suppression de compte)
• Logs serveur Cloudflare, Modal et Supabase (durée de conservation max 90 jours)

3. Finalités et bases légales

• Exécution du contrat (article 6.1.b RGPD) : fournir le service de gestion de stock, synchroniser vos canaux, calculer vos prévisions.
• Obligations légales (article 6.1.c) : conservation des factures et journaux comptables (10 ans), logs de sécurité.
• Intérêt légitime (article 6.1.f) : sécurité du service, prévention de la fraude, amélioration produit (via logs anonymisés).
• Consentement (article 6.1.a) : envoi de communications produit non essentielles (newsletter, conseils) - case à cocher distincte, désinscription à tout moment.

4. Hébergement et sous-traitants

Nous faisons appel aux sous-traitants suivants, dans les conditions d'un accord de traitement de données (DPA) conforme à l'article 28 RGPD :

• Supabase Inc. - base de données et authentification, instance déployée dans l'Union européenne (Francfort, eu-central-1).
• Modal Labs, Inc. - calculs de prévision, synchronisations et lecture automatique de factures, exécutés dans l'Union européenne (région EU épinglée).
• Cloudflare, Inc. - hébergement des pages du site et réseau de diffusion (certification DPF EU-US ; les pages ne stockent aucune donnée de compte).
• Stripe Payments Europe, Ltd. - paiement des abonnements (Irlande ; vos numéros de carte ne transitent jamais par Maestro).
• Google LLC - via l'API Gemini (certification DPF EU-US), pour deux fonctions déclenchées par vous : la lecture automatique des factures fournisseurs (seule l'image scannée est transmise) et le « Brief IA » d'une fiche client B2B (seuls les chiffres et notes de la fiche concernée sont transmis, au moment où vous cliquez sur « Générer »).
• Brevo (Sendinblue SAS) - envoi par email des factures B2B (société française, données hébergées en Union européenne) : seuls transitent l'adresse du destinataire et le document envoyé.
• Open-Meteo - données météo utilisées par les prévisions : seule la ville du commerce est transmise, aucune donnée personnelle.

Vos données métier (produits, stocks, ventes, intégrations) sont stockées exclusivement dans l'Union européenne et les traitements applicatifs de Maestro s'exécutent dans l'Union européenne.

5. Durée de conservation

• Données de compte actif : jusqu'à la suppression du compte.
• Données comptables (factures, ventes) : 10 ans après émission, conformément au Code de commerce.
• Logs d'audit : 12 mois glissants.
• Logs techniques serveur : 90 jours maximum.
• Compte inactif (aucune connexion depuis 36 mois) : email d'avertissement puis suppression.

6. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès (art. 15) : consulter les données vous concernant.
• Rectification (art. 16) : corriger les informations inexactes via votre espace Paramètres.
• Effacement (art. 17) : supprimer définitivement votre compte (bouton "Supprimer mon compte" dans Paramètres → Sécurité).
• Portabilité (art. 20) : exporter vos données au format JSON (bouton "Télécharger mes données" dans Paramètres → Sécurité).
• Limitation / opposition (art. 18 et 21) : contactez [email protected].
• Réclamation à la CNIL : si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une plainte à la Commission Nationale de l'Informatique et des Libertés.

7. Sécurité

Mesures techniques et organisationnelles déployées :

• HTTPS/TLS 1.3 obligatoire sur l'ensemble du service.
• Chiffrement de bout en bout des clés API tierces (AES-GCM-256 + PBKDF2 250 000 itérations).
• Row-Level Security PostgreSQL : isolation stricte entre comptes au niveau de la base.
• Mots de passe hachés bcrypt avec sel unique.
• Headers HTTP de sécurité : HSTS, CSP, X-Frame-Options, Permissions-Policy.
• Audit log des actions sensibles, rate limiting sur les tentatives de connexion.
• Sauvegardes automatiques quotidiennes, chiffrées et géo-redondées dans l'UE.

8. Modifications

Nous pouvons être amenés à mettre à jour cette politique. Toute modification substantielle sera notifiée à l'adresse email associée à votre compte au moins 30 jours avant sa prise d'effet.

9. Contact

Pour toute question relative à vos données personnelles : [email protected].
Délai de réponse maximal : 30 jours (article 12.3 RGPD).