Politique de Confidentialité - Inkara

1. PRÉAMBULE

La protection de vos données personnelles est une priorité pour Inkara.

La présente Politique de Confidentialité vous informe sur la manière dont nous collectons, utilisons, protégeons et conservons vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés.

Responsable du traitement :

Hantzer Damien

Auto-entrepreneur

Adresse : [AJOUT PROCHAINEMENT]

Email : contact@inkara.app

SIRET : 91867784000012

Délégué à la Protection des Données (DPO) :

Email : dpo@inkara.app

2. DONNÉES COLLECTÉES

2.1 Données collectées directement

Lors de l'utilisation de Inkara, nous collectons les données suivantes :

A) Données d'identification et de contact :

• Nom et prénom
• Adresse email
• Numéro de téléphone (optionnel)
• Nom de studio / nom professionnel
• Ville et adresse professionnelle
• Username personnalisé (@username)

B) Données de connexion :

• Identifiant de connexion (email)
• Mot de passe (haché et chiffré)
• Historique des connexions (date, heure, IP)
• Jetons d'authentification (sessions)

C) Données professionnelles :

• Informations sur vos clients (nom, email, téléphone, notes)
• Rendez-vous et calendrier
• Photos de portfolio (tatouages)
• Photos de projets clients
• Demandes de contact reçues
• Préférences de configuration (thème, paramètres)

D) Données de facturation et paiement :

• Informations de facturation (nom, adresse)
• Historique des abonnements et paiements
• Note importante : Les données bancaires (numéro de carte) ne sont PAS stockées sur nos serveurs. Elles sont traitées directement par notre prestataire de paiement sécurisé Stripe.

E) Données de navigation :

• Pages visitées
• Temps passé sur les pages
• Actions effectuées
• Type de navigateur et système d'exploitation
• Adresse IP
• Référent (site d'origine)

F) Données de portfolio public :

• Photos de tatouages publiées
• Descriptions et titres
• Bio et présentation
• Informations publiques de contact
• Liens vers réseaux sociaux

2.2 Données collectées automatiquement

Cookies et technologies similaires :

• Cookies de session (authentification)
• Cookies de préférences
• Cookies d'analyse (Google Analytics ou Plausible)
• Cookies de performance

Pour plus d'informations, consultez notre Politique Cookies.

2.3 Données sensibles

Nous ne collectons aucune donnée sensible au sens de l'article 9 du RGPD, notamment :

• Origine raciale ou ethnique
• Opinions politiques, religieuses ou philosophiques
• Appartenance syndicale
• Données génétiques ou biométriques
• Données de santé
• Données concernant l'orientation sexuelle

Note sur les photos de tatouages : Bien que les tatouages puissent potentiellement révéler des convictions (religieuses, politiques, etc.), vous êtes seul responsable du contenu que vous publiez. Nous vous recommandons d'obtenir le consentement écrit de vos clients avant de publier des photos les représentant.

2.4 Données des clients finaux (visiteurs de portfolios)

Pour les visiteurs consultant les portfolios publics :

• Nous collectons uniquement : adresse IP, pages vues, durée de visite (analytics)
• Lors de l'envoi d'une demande de contact : nom, email, message (transmis au tatoueur concerné)

3. FINALITÉS ET BASES LÉGALES DU TRAITEMENT

3.1 Finalités du traitement

Vos données sont collectées pour les finalités suivantes :

Finalité	Données concernées	Base légale
Création et gestion de compte	Identité, contact, connexion	Exécution du contrat
Fourniture du service CRM	Données professionnelles (clients, RDV)	Exécution du contrat
Gestion du portfolio public	Photos, descriptions, bio	Exécution du contrat
Gestion des abonnements	Facturation, paiement	Exécution du contrat
Facturation	Identité, facturation	Obligation légale
Support client	Identité, contact, historique	Intérêt légitime
Amélioration du service	Analytics, navigation	Intérêt légitime
Sécurité de la plateforme	Connexions, IP, logs	Intérêt légitime
Marketing (newsletter)	Email	Consentement
Respect obligations légales	Toutes	Obligation légale

3.2 Bases légales

Les bases légales de nos traitements sont :

A) Exécution du contrat (Article 6.1.b du RGPD) :

• Fourniture des services Inkara (CRM, portfolio, calendrier)
• Gestion de votre compte utilisateur
• Traitement des paiements

B) Obligation légale (Article 6.1.c du RGPD) :

• Conservation des factures (10 ans)
• Respect des obligations comptables et fiscales
• Réponse aux réquisitions judiciaires

C) Intérêt légitime (Article 6.1.f du RGPD) :

• Prévention de la fraude et sécurité du service
• Amélioration de nos services (analytics)
• Support technique

D) Consentement (Article 6.1.a du RGPD) :

• Envoi de newsletters et communications marketing (opt-in)
• Cookies non essentiels (analytics, performance)

Vous pouvez retirer votre consentement à tout moment.

4. DESTINATAIRES DES DONNÉES

4.1 Destinataires internes

Vos données sont accessibles en interne uniquement aux personnes habilitées, dans la stricte limite de leurs attributions :

• Support technique (pour résoudre les incidents)
• Service client (pour répondre à vos demandes)

4.2 Destinataires externes

Vos données peuvent être transmises aux destinataires suivants :

A) Prestataires de services :

• Stripe (traitement des paiements)

  • Localisation : États-Unis (clauses contractuelles types)
  • Certification : PCI-DSS niveau 1
  • https://stripe.com/privacy

• Hetzner (hébergement de la plateforme)

  • Localisation : Allemagne (UE)
  • https://www.hetzner.com/legal/privacy-policy

• Services d'envoi d'emails (notifications)

  • À définir selon le service utilisé (Mailgun, SendGrid, Amazon SES)

• Analytics (mesure d'audience)

  • Google Analytics (avec anonymisation IP) OU Plausible (respectueux vie privée)

B) Autorités légales :

• En cas de réquisition judiciaire
• Pour respecter une obligation légale

C) Repreneurs potentiels :

• En cas de vente, fusion ou acquisition de l'entreprise (vous en seriez informé)

4.3 Pas de vente de données

Nous ne vendons, ne louons et ne partageons jamais vos données personnelles à des fins commerciales.

5. TRANSFERTS HORS UE

Certains de nos prestataires sont situés hors de l'Union Européenne, notamment :

Stripe (États-Unis) :

• Encadré par les clauses contractuelles types de la Commission Européenne
• Certification Privacy Shield (en attente de remplacement)
• Garanties de protection équivalentes au RGPD

Pour tout transfert hors UE, nous nous assurons que des garanties appropriées sont en place conformément au RGPD (Article 46).

6. DURÉE DE CONSERVATION

Vos données sont conservées pendant les durées suivantes :

Type de données	Durée de conservation	Justification
Compte actif	Durée de votre compte	Fourniture du service
Compte inactif	3 ans d'inactivité puis suppression	Intérêt légitime
Factures	10 ans	Obligation légale (comptabilité)
Logs de connexion	12 mois	Sécurité et prévention fraude
Cookies analytics	13 mois maximum	Recommandation CNIL
Newsletters	Jusqu'à désinscription	Consentement
Support client	3 ans après résolution	Intérêt légitime
Données après suppression compte	30 jours (backup) puis suppression définitive	Technique

Note : Après suppression de votre compte, vos données sont supprimées sous 30 jours, sauf obligation légale de conservation (ex: factures).

7. SÉCURITÉ DES DONNÉES

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :

7.1 Mesures techniques

• Chiffrement SSL/TLS : Toutes les communications sont chiffrées (HTTPS)
• Chiffrement des mots de passe : Hachage avec bcrypt (algorithme sécurisé)
• Firewall et pare-feu : Protection contre les attaques
• Sauvegardes régulières : Backups quotidiens chiffrés
• Monitoring de sécurité : Détection des intrusions et anomalies
• Mises à jour régulières : Correctifs de sécurité appliqués rapidement

7.2 Mesures organisationnelles

• Accès restreint : Seules les personnes habilitées accèdent aux données
• Confidentialité : Obligation de confidentialité pour tous les intervenants
• Sensibilisation : Formation aux bonnes pratiques de sécurité
• Politique de mots de passe : Exigences strictes (longueur, complexité)
• Authentification forte : Support de l'authentification à deux facteurs (prévu)

7.3 Signalement des violations

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à :

• Notifier la CNIL dans les 72 heures
• Vous informer dans les meilleurs délais
• Prendre toutes les mesures nécessaires pour limiter l'impact

8. VOS DROITS

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

8.1 Droit d'accès (Article 15 RGPD)

Vous avez le droit d'obtenir :

• La confirmation que vos données sont traitées
• Une copie de vos données personnelles
• Des informations sur les traitements effectués

8.2 Droit de rectification (Article 16 RGPD)

Vous pouvez demander la correction de données inexactes ou incomplètes.

Vous pouvez modifier la plupart de vos données directement depuis votre compte > Paramètres.

8.3 Droit à l'effacement / "droit à l'oubli" (Article 17 RGPD)

Vous pouvez demander la suppression de vos données dans les cas suivants :

• Les données ne sont plus nécessaires
• Vous retirez votre consentement
• Vous vous opposez au traitement
• Les données ont été traitées illicitement

Exception : Nous conservons certaines données pour respecter nos obligations légales (factures : 10 ans).

8.4 Droit à la limitation du traitement (Article 18 RGPD)

Vous pouvez demander le gel de vos données dans certaines situations :

• Vous contestez l'exactitude des données
• Le traitement est illicite mais vous ne souhaitez pas l'effacement
• Vous avez besoin des données pour une action en justice

8.5 Droit à la portabilité (Article 20 RGPD)

Vous pouvez recevoir vos données dans un format structuré et couramment utilisé (CSV, JSON) et les transmettre à un autre responsable de traitement.

Comment : Depuis votre compte > Paramètres > Exporter mes données

8.6 Droit d'opposition (Article 21 RGPD)

Vous pouvez vous opposer à tout moment :

• Au traitement de vos données à des fins de marketing direct (newsletters)
• Au traitement fondé sur l'intérêt légitime

8.7 Droit de retirer votre consentement

Lorsque le traitement est fondé sur votre consentement, vous pouvez le retirer à tout moment.

Le retrait du consentement ne remet pas en cause la licéité des traitements effectués avant le retrait.

8.8 Droit de définir des directives post-mortem

Vous pouvez définir des directives concernant le sort de vos données après votre décès.

8.9 Exercice de vos droits

Pour exercer vos droits, contactez-nous :

Par email : dpo@inkara.app

Par courrier : Hantzer Damien - DPO, [AJOUT PROCHAINEMENT]

Informations à fournir :

• Nom, prénom
• Email du compte
• Description de la demande
• Copie d'une pièce d'identité (pour vérifier votre identité)

Délai de réponse : 1 mois maximum (peut être prolongé de 2 mois si la demande est complexe)

8.10 Droit de réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL :

CNIL

3 Place de Fontenoy

TSA 80715

75334 PARIS CEDEX 07

Téléphone : 01 53 73 22 22

Site web : https://www.cnil.fr/fr/plaintes

9. COOKIES

9.1 Qu'est-ce qu'un cookie ?

Un cookie est un petit fichier texte déposé sur votre terminal (ordinateur, smartphone, tablette) lors de la visite d'un site web.

9.2 Cookies utilisés

Nous utilisons les types de cookies suivants :

A) Cookies strictement nécessaires (exemptés de consentement) :

• Cookies de session (authentification)
• Cookies de sécurité (CSRF protection)
• Cookies de préférence (langue, thème)

B) Cookies de performance et analytics (consentement requis) :

• Google Analytics (avec anonymisation IP) OU Plausible
• Mesure d'audience (pages vues, durée de visite)

C) Cookies de fonctionnalités (consentement requis) :

• Mémorisation de vos préférences
• Amélioration de l'expérience utilisateur

Nous n'utilisons PAS de cookies publicitaires ou de tracking tiers.

9.3 Gestion des cookies

Vous pouvez gérer vos préférences de cookies :

• Lors de votre première visite : Via la bannière cookies
• À tout moment : Paramètres > Cookies et confidentialité
• Via votre navigateur : Paramètres > Confidentialité

Note : Le refus des cookies strictement nécessaires peut empêcher le bon fonctionnement du site.

Pour plus d'informations, consultez notre Politique Cookies.

10. LIENS VERS DES SITES TIERS

Notre site peut contenir des liens vers des sites tiers (réseaux sociaux, sites de tatoueurs, etc.).

Nous ne sommes pas responsables des pratiques de confidentialité de ces sites. Nous vous encourageons à lire leurs politiques de confidentialité.

11. MINEURS

Inkara est destiné aux personnes majeures (18 ans et plus).

Nous ne collectons pas sciemment de données personnelles concernant des mineurs de moins de 18 ans.

Si vous êtes un parent ou tuteur et que vous découvrez que votre enfant nous a fourni des données personnelles sans votre consentement, contactez-nous à dpo@inkara.app pour que nous supprimions ces données.

12. MODIFICATIONS DE LA POLITIQUE

Nous nous réservons le droit de modifier la présente Politique de Confidentialité à tout moment pour refléter :

• Les évolutions légales ou réglementaires
• Les modifications de nos pratiques
• L'ajout de nouvelles fonctionnalités

Les modifications importantes seront notifiées par :

• Email
• Notification sur la plateforme
• Bannière d'information

La date de dernière mise à jour est indiquée en haut de cette page.

Nous vous encourageons à consulter régulièrement cette politique.

13. CONTACT

Pour toute question concernant cette Politique de Confidentialité ou le traitement de vos données personnelles :

Délégué à la Protection des Données (DPO) :

Email : dpo@inkara.appp>

Courrier : Hantzer Damien - DPO, [AJOUT PROCHAINEMENT]

Service client :

Email : contact@inkara.app

Réponse sous : 1 mois maximum (30 jours)

14. GLOSSAIRE

Données personnelles : Toute information se rapportant à une personne physique identifiée ou identifiable.

Responsable de traitement : Personne qui détermine les finalités et les moyens du traitement (ici : Hantzer Damien).

Sous-traitant : Personne qui traite des données pour le compte du responsable (ex: Stripe, Hetzner).

RGPD : Règlement Général sur la Protection des Données (UE 2016/679).

CNIL : Commission Nationale de l'Informatique et des Libertés (autorité française de contrôle).

DPO : Délégué à la Protection des Données (Data Protection Officer).

Consentement : Manifestation de volonté libre, spécifique, éclairée et univoque.