1. Responsable de Traitement et Champ d'Application
La présente Politique de Confidentialité s'applique à l'ensemble des services fournis par PEPPER. Elle précise les traitements de données à caractère personnel effectués lorsque vous visitez notre site, créez un compte ou utilisez notre plateforme collaborative.
Le responsable de traitement est la société éditrice de PEPPER. Pour toute question ou demande relative à vos données, notre Délégué à la Protection des Données (DPO) peut être contacté à l'adresse suivante : privacy@pepper.app.
2. Données Personnelles Collectées
Nous appliquons le principe de minimisation des données : seules les informations strictement nécessaires au bon fonctionnement de la Plateforme sont collectées.
Données de Compte & Profil
- Adresse email (identifiant principal)
- Nom complet ou pseudonyme affiché
- Photo ou avatar de profil (optionnel ou via OAuth)
- Mot de passe haché (ou identifiants de session OAuth)
Données de Projets & d'Activité
- Titres, descriptions et champs personnalisés des tickets
- Sections de backlogs, sprints et jalons de versions
- Journaux d'audit trail (qui a modifié un élément et quand)
- Tâches personnelles dans l'espace to-do
3. Finalités et Bases Légales des Traitements
Chaque traitement repose sur une base juridique claire conformément à l'article 6 du RGPD :
- Fourniture du service PEPPER : Création de compte, authentification, affichage et mise à jour de vos projets et backlogs (Base légale : Exécution des Conditions Générales d'Utilisation).
- Audit Trail et Gouvernance : Traçabilité des actions et modifications pour assurer l'intégrité collaborative et la sécurité opérationnelle de votre équipe (Base légale : Intérêt légitime et exécution contractuelle).
- Sécurité et Prévention des Fraudes : Surveillance des activités suspectes, protection contre les attaques de force brute et défense de l'infrastructure (Base légale : Intérêt légitime).
- Communications de Service : Notifications techniques et alertes d'activité (Base légale : Exécution des conditions de service).
4. Destinataires et Sous-Traitants de Données
Vos données personnelles sont confidentielles. Elles ne sont partagées qu'avec des prestataires techniques hautement qualifiés et soumis à de strictes obligations de confidentialité :
- Supabase : Hébergement de la base de données PostgreSQL, gestion sécurisée de l'authentification et stockage d'état (infrastructures certifiées SOC 2 Type II et conformes aux clauses contractuelles types de l'UE).
- Fournisseurs d'authentification tiers : Google et Apple si vous choisissez de vous connecter par ce biais. Seuls votre nom et votre email nous sont alors transmis.
Aucune revente de données : PEPPER ne vend, ne loue et ne commercialise aucune donnée personnelle à des fins publicitaires ou marketing tiers.
5. Sécurité et Mesures de Protection
La sécurité de vos données est au cœur de l'architecture de PEPPER :
- Chiffrement de bout en bout : Tous les échanges entre votre navigateur et PEPPER sont chiffrés via le protocole TLS 1.3 / HTTPS. Les données au repos sont chiffrées selon la norme AES-256.
- Row Level Security (RLS) : Chaque table de base de données dispose de règles de sécurité au niveau de la ligne, garantissant qu'un utilisateur ne peut accéder qu'aux projets et workspaces auxquels il est explicitement habilité.
- Hachage cryptographique : Les mots de passe ne sont jamais stockés en clair et utilisent des algorithmes de hachage robustes.
6. Durée de Conservation des Données
Vos données personnelles sont conservées aussi longtemps que votre compte utilisateur est actif. En cas de demande de clôture ou d'inactivité prolongée :
- Les données de compte sont effacées ou anonymisées dans un délai maximal de 30 jours suivant votre demande.
- Les journaux de connexion et logs d'audit sont conservés pour une durée n'excédant pas les obligations légales (généralement 12 mois).
8. Vos Droits sous le RGPD
Conformément au RGPD et aux lois relatives à l'informatique et aux libertés, vous bénéficiez des droits suivants :
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) sur cnil.fr.