1. Responsable du traitement
Le responsable du traitement des données personnelles est :
Carl Frenee, entrepreneur individuel
3725, rue de la Provence
Trois-Rivières (Québec) G9B 0R2, Canada
Courriel : carl@carlusone.com
Aucun délégué à la protection des données (DPO) n'a été formellement désigné à ce jour. Toute demande relative à la présente politique peut être adressée directement au responsable via l'adresse ci-dessus.
2. Champ d'application
La présente politique couvre :
- Le site vitrine carlusone.com (portfolio, blog, pages d'information) ;
- Les cinq applications web éditées par CarlusOne :
3. Données collectées
Les données collectées varient selon l'application utilisée et le rôle de l'utilisateur.
3.1 Données communes à toutes les applications
- Compte utilisateur : adresse courriel, mot de passe (haché, jamais lisible en clair) et, le cas échéant, nom d'affichage.
- Données techniques : adresse IP, type d'appareil, navigateur, langue préférée, horodatage des connexions (à des fins de sécurité et de prévention de la fraude).
- Cookies et mesure d'audience : voir la section 8 ci-dessous.
3.2 Données spécifiques par application
- GestTaches : tâches, jours fériés, disponibilités, absences, préférences d'affichage.
- GestBudget : catégories, transactions, montants et libellés saisis par l'utilisateur. Aucune connexion bancaire directe.
- Jeu de Mots (Jeudemots) : côté enseignant — compte, préférences pédagogiques (prénoms d'élèves saisis librement pour la pratique, listes personnalisées de mots) ; côté élève — aucun compte, aucune adresse courriel, aucune donnée personnelle. Seul un prénom libre est saisi le temps d'une session en direct, puis effacé.
- GestReserve : coordonnées des clients (nom, téléphone, courriel), horaires et détails des réservations saisis par l'exploitant.
- TranscriptIA : fichiers audio téléversés et transcriptions générées. Toutes les fonctions d'intelligence artificielle (transcription, résumé, reformulation) s'exécutent sur un serveur local dédié (worker) sans envoi à une API tierce type OpenAI ou Anthropic.
Aucune donnée sensible au sens du RGPD (santé, orientation politique/religieuse/sexuelle, biométrie) n'est collectée intentionnellement. Si un utilisateur en saisit dans une zone de texte libre, il en assume la responsabilité.
4. Finalités et bases légales
| Finalité | Base légale (RGPD art. 6) |
|---|
| Fournir le service demandé (compte, données utilisateur, fonctionnalités de l'app) | Exécution du contrat (art. 6.1.b) |
| Assurer la sécurité (authentification, logs, prévention de la fraude) | Intérêt légitime (art. 6.1.f) |
| Facturer un abonnement payant (Stripe) | Exécution du contrat et obligation légale (comptabilité, TVA) |
| Répondre aux demandes de contact ou de support | Intérêt légitime |
| Mesurer l'audience (Google Analytics, cookies) | Consentement (art. 6.1.a) |
5. Sous-traitants et destinataires
Les données ne sont ni vendues ni louées à des tiers. Elles sont partagées uniquement avec les sous-traitants techniques strictement nécessaires au fonctionnement des services :
- Google Ireland Limited (Firebase Authentication et Firestore) — hébergement des données de la plupart des applications, région europe-west1 (Belgique). Certifié ISO 27001/27017/27018, SOC 1/2/3, DPA RGPD signé.
- Supabase Inc. (États-Unis) — base de données et authentification de GestTaches. Les transferts hors UE sont encadrés par les clauses contractuelles types de la Commission européenne.
- Netlify Inc. (États-Unis) — hébergement des pages web et fonctions serverless. CDN mondial avec points de présence européens. Transferts hors UE encadrés par clauses contractuelles types.
- Stripe Payments Europe Limited (Irlande) — traitement des paiements des abonnements. Aucune donnée de carte bancaire ne transite ni n'est stockée sur les serveurs de CarlusOne.
- Google (Google Analytics, Google Tag Manager) — mesure d'audience anonymisée sur le site vitrine carlusone.com uniquement, sous réserve de consentement.
Aucune API d'intelligence artificielle cloud externe (OpenAI, Anthropic, etc.) n'est utilisée. TranscriptIA fait tourner ses modèles sur un serveur local dédié.
6. Transferts internationaux
Certains sous-traitants (Netlify, Supabase, Stripe, Google) peuvent traiter des données depuis les États-Unis. Ces transferts sont encadrés par :
- Les clauses contractuelles types (CCT) de la Commission européenne ;
- Les certifications applicables (SOC 2, ISO 27001, cadre EU-US Data Privacy Framework lorsque disponible) ;
- Une minimisation stricte des données transférées.
Pour les utilisateurs situés au Québec, la Loi 25 impose une évaluation préalable des transferts hors Québec : le responsable a évalué que ces fournisseurs offrent une protection équivalente.
7. Durée de conservation
- Compte utilisateur actif : pendant toute la durée de l'utilisation du service.
- Compte inactif : suppression après 24 mois d'inactivité, après un courriel d'avertissement.
- Suppression sur demande : effacement sous 30 jours après réception de la demande.
- Données de facturation (Stripe) : conservées 6 à 10 ans selon les obligations comptables et fiscales applicables.
- Logs techniques : 12 mois maximum.
- Sessions Jeudemots : les prénoms d'élèves saisis pendant une session en direct sont automatiquement effacés à la fin de la session.
8. Cookies et technologies similaires
Deux catégories de cookies sont utilisées :
- Cookies strictement nécessaires : session d'authentification, préférences de langue et de thème. Aucun consentement requis.
- Cookies de mesure d'audience : sur le site vitrine carlusone.com, Google Analytics et Google Tag Manager mesurent la fréquentation. Ces cookies sont activés uniquement avec votre consentement, retirable à tout moment.
Aucun cookie publicitaire ni traceur commercial n'est utilisé. Les applications elles-mêmes ne diffusent aucune publicité.
9. Vos droits
Conformément à la Loi 25 (Québec), à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE / PIPEDA, Canada fédéral) et au RGPD (UE), vous disposez des droits suivants :
- Droit d'accès : obtenir une copie des données vous concernant.
- Droit de rectification : corriger toute donnée inexacte.
- Droit d'effacement (« droit à l'oubli ») : supprimer vos données, sous réserve des obligations légales de conservation.
- Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
- Droit d'opposition : vous opposer à un traitement fondé sur l'intérêt légitime.
- Droit au retrait du consentement : retirer votre consentement à tout moment (mesure d'audience, communications).
- Droit de plainte : auprès de la Commission d'accès à l'information du Québec (cai.gouv.qc.ca) ou de l'autorité de protection des données compétente dans votre pays de résidence (CNIL en France, APD en Belgique, PFPDT en Suisse, etc.).
Pour exercer ces droits, écrivez à carl@carlusone.com en précisant votre demande et l'application concernée. Une réponse vous sera adressée sous 30 jours au maximum.
10. Sécurité des données
- Chiffrement de toutes les communications en transit (HTTPS/TLS).
- Chiffrement des données au repos (géré par Google Firestore et Supabase).
- Mots de passe stockés sous forme hachée (jamais en clair).
- Authentification à deux facteurs disponible en option.
- Sauvegardes régulières assurées par les fournisseurs d'infrastructure.
- Journalisation des accès administratifs.
Malgré ces mesures, aucun système n'est infaillible. En cas de violation de données susceptible de générer un risque pour vos droits et libertés, vous serez informé sans délai injustifié, conformément aux obligations légales.
11. Enfants et mineurs
Le service Jeu de Mots (Jeudemots) est destiné à un usage éducatif en classe. Côté élève, aucune donnée personnelle n'est collectée : la session est anonyme et éphémère. Côté enseignant, le compte requiert la majorité numérique (16 ans au sein de l'UE, 14 ans au Québec sauf autorisation parentale).
Les autres applications (GestTaches, GestBudget, GestReserve, TranscriptIA) sont destinées à des utilisateurs professionnels ou adultes.
12. Modifications de la politique
La présente politique peut évoluer pour refléter les changements techniques, légaux ou fonctionnels. Toute modification substantielle sera signalée par courriel aux utilisateurs disposant d'un compte, au moins 30 jours avant sa prise d'effet. La date de mise à jour figure en haut de cette page.
13. Contact
Pour toute question relative à cette politique ou à l'exercice de vos droits :
Carl Frenee
3725, rue de la Provence, Trois-Rivières (Québec) G9B 0R2, Canada
Courriel : carl@carlusone.com