GDPR Compliance
How we comply with the General Data Protection Regulation
This document is provided in French. Only the French version is legally binding.
Nos engagements
Transparence
Nous vous informons clairement sur les données collectées et leur utilisation. Pas de tracking caché, pas de revente de données.
Minimisation
Nous ne collectons que les données strictement nécessaires au fonctionnement du service. Rien de superflu.
Sécurité
Chiffrement TLS 1.3 en transit, AES-256 au repos. Isolation stricte des données entre clients, appliquée au niveau de la base de données.
Localisation UE
Hébergement des données sur Hetzner Cloud dans l’Union européenne, analytics PostHog en UE. Certains outils (inférence IA, emails, CRM) impliquent des transferts hors UE, encadrés par des DPA et clauses contractuelles types — voir le tableau des sous-traitants.
Droit à l'oubli
Suppression complète de vos données sous 30 jours sur simple demande. Export de vos données en JSON disponible.
Portabilité
Exportez tous vos articles, briefs et données de compte en un clic au format JSON standard.
Sous-traitants et flux de données
| Sous-traitant | Usage | Localisation | Certification |
|---|---|---|---|
| Hetzner | Hébergement serveurs & données | UE | ISO 27001 |
| Vercel | Hébergement interface web | UE/US | SOC 2 Type II |
| Cloudflare | DNS, protection, stockage images (R2) | UE/mondial | ISO 27001 |
| Stripe | Paiements | UE | PCI-DSS L1 |
| Resend | Emails transactionnels | US * | SOC 2 Type II |
| Loops | Emails produit & marketing | US * | DPA actif |
| Attio | CRM (contacts clients) | US/UE * | SOC 2 Type II |
| Crisp | Support & chat | UE (France) | DPA actif |
| PostHog | Analytics | UE | SOC 2 Type II |
| Sentry | Monitoring erreurs | UE | SOC 2 Type II |
| Upstash | File d'événements (QStash) | UE/US * | SOC 2 Type II |
| OpenRouter | Routage modèles IA | US * | DPA actif |
| OpenAI | Génération d'articles | US * | SOC 2 Type II |
| Anthropic | Génération d'articles | US * | SOC 2 Type II |
| Mistral AI | Génération & analyse IA | France (UE) | DPA actif |
* Les appels d'inférence IA (routés via OpenRouter vers OpenAI / Anthropic / autres) transmettent uniquement le contexte article (pas de données personnelles), et aucune donnée n'est utilisée pour l'entraînement des modèles (Data Processing Addendum actif). Les transferts hors UE des autres sous-traitants (emails, CRM, file d'événements) sont encadrés par des DPA incluant les clauses contractuelles types (SCC) de la Commission européenne.
Checklist conformité
Registre des traitements maintenu et à jour
Analyse d'impact (DPIA) menée lorsqu'un traitement le requiert
Sous-traitants sous DPA conforme RGPD — liste complète dans le tableau ci-dessus
Contact protection des données : privacy@earlyforge.ai
Notification CNIL sous 72h en cas de violation de données
Base légale identifiée pour chaque traitement (contrat, consentement ou intérêt légitime)
Politique de rétention claire avec durées définies
Analyses de vulnérabilités automatisées et revues de sécurité régulières
Une question sur vos données ?
Votre contact protection des données est à votre disposition :
privacy@earlyforge.ai