Vos données, en pleine clarté

Le responsable du traitement des données personnelles collectées sur fisniku.art est :

GreenEcoGenius OÜ
Tornimäe tn 5, 10145 Tallinn, Estonie
Code registre estonien : 16917315
Représentant légal : Ervis Ago, membre du directoire

Pour toute question relative à la protection des données ou pour exercer vos droits, vous pouvez écrire à notre point de contact dédié : info@fisniku.art.

Nous limitons strictement la collecte aux données nécessaires au bon fonctionnement du service. Les catégories de données traitées sont les suivantes :

• Compte : adresse de courriel, nom d'usage (facultatif), mot de passe stocké sous forme chiffrée (haché et salé).
• Achats : montant, devise, format acquis, œuvre concernée, identifiant de transaction Stripe, adresse IP au moment du paiement et pays inféré pour le calcul de la TVA.
• Lecture et écoute : pourcentage de progression, position de défilement (lecture) et position temporelle (audio) sauvegardées dans la table reading_progress afin de reprendre la lecture à l'endroit exact où vous l'avez laissée.
• Communications : messages envoyés via le formulaire de contact, contenu de votre message et adresse de réponse.

Aucune donnée bancaire n'est stockée sur nos serveurs. L'intégralité des informations de paiement est traitée directement par Stripe.

Les données collectées sont utilisées pour :

• assurer la création, la connexion et la sécurité de votre compte ;
• exécuter les commandes (paiement, livraison numérique, confirmation par courriel, archivage légal) ;
• constituer et présenter votre bibliothèque personnelle, et mémoriser votre progression dans chaque œuvre ;
• répondre à vos demandes envoyées via le formulaire de contact ;
• envoyer les communications transactionnelles strictement nécessaires (confirmation d'achat, alerte de sécurité, réinitialisation de mot de passe).

Aucune donnée n'est utilisée à des fins publicitaires, ni revendue, ni cédée à un tiers à des fins commerciales.

Conformément à l'article 6 du RGPD, les traitements reposent sur les bases suivantes :

• Exécution du contrat (article 6, 1, b) : gestion du compte, traitement des commandes, livraison et mise à disposition des œuvres, sauvegarde de la progression de lecture.
• Obligation légale (article 6, 1, c) : conservation des justificatifs comptables et des factures pendant la durée prévue par le droit estonien.
• Intérêt légitime (article 6, 1, f) : sécurité du service, prévention de la fraude, amélioration interne du produit sur la base de logs anonymisés.
• Consentement (article 6, 1, a) : envoi éventuel d'une lettre éditoriale (newsletter), uniquement après opt-in explicite et révocable à tout moment.

Pour faire fonctionner le service, nous faisons appel aux sous-traitants suivants. Chacun est lié à GreenEcoGenius OÜ par un accord de traitement des données conforme à l'article 28 du RGPD.

• Supabase Inc. (hébergement de la base de données, authentification et stockage de fichiers). Données hébergées en Irlande, Union européenne.
• Stripe Payments Europe, Limited (traitement des paiements et calcul de la TVA via Stripe Tax). Données traitées en Irlande, Union européenne.
• Resend, Inc. (envoi des courriels transactionnels). Société établie aux États-Unis ; transfert encadré par les clauses contractuelles types de la Commission européenne (décision 2021/914).
• Vercel, Inc. (hébergement de l'application frontend, distribution sur réseau mondial). Société établie aux États-Unis ; transfert encadré par les clauses contractuelles types de la Commission européenne (décision 2021/914).

Les durées de conservation appliquées sont les suivantes :

• Données de compte : pendant toute la durée d'activité du compte, puis trois ans après la dernière connexion, à l'expiration desquels le compte est supprimé.
• Justificatifs d'achat et factures : dix ans à compter de la fin de l'exercice comptable concerné, conformément à la Raamatupidamise seadusestonienne (loi sur la comptabilité).
• Progression de lecture : tant que l'œuvre figure dans votre bibliothèque ou jusqu'à demande de suppression de votre part.
• Messages de contact : trois ans après la dernière échange, à des fins de preuve et de suivi.

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données :

• Droit d'accès : obtenir une copie des données vous concernant.
• Droit de rectification : corriger toute information inexacte ou incomplète.
• Droit à l'effacement : demander la suppression de votre compte et des données associées (sous réserve des obligations légales de conservation).
• Droit à la portabilité : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d'opposition : vous opposer à un traitement fondé sur l'intérêt légitime.
• Retrait du consentement : à tout moment, sans affecter la licéité des traitements antérieurs.
• Droit d'introduire une réclamation auprès d'une autorité de contrôle. En tant que société estonienne, nous relevons en premier lieu de l'Andmekaitse Inspektsioon (AKI), www.aki.ee. Les résidents français peuvent également saisir la CNIL, www.cnil.fr.

La majorité de vos données est traitée et hébergée à l'intérieur de l'Union européenne (Supabase et Stripe en Irlande).

Les services de Resend et de Vercel impliquent un transfert de certaines données vers les États-Unis. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021 (décision 2021/914), qui offrent un niveau de protection adéquat conformément aux exigences du RGPD.

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes :

• chiffrement systématique des communications par TLS 1.3 entre votre navigateur et nos serveurs ;
• chiffrement au repos des bases de données et des fichiers de stockage Supabase ;
• mots de passe stockés exclusivement sous forme hachée et salée (algorithme bcrypt) ;
• règles de sécurité par ligne (Row Level Security) appliquées à toutes les tables sensibles, garantissant qu'un utilisateur ne peut lire ou modifier que ses propres données ;
• authentification à deux facteurs (TOTP) disponible pour chaque compte, activable depuis vos préférences ;
• vérification automatique des mots de passe par confrontation à la base HaveIBeenPwned au moment de l'inscription et du changement, pour rejeter ceux qui ont fait l'objet d'une fuite publique connue.

Pour exercer l'un des droits décrits ci-dessus, ou pour toute question portant sur le traitement de vos données, écrivez à notre point de contact dédié :

info@fisniku.art

Nous nous engageons à répondre dans un délai maximal de trente jours à compter de la réception de votre demande, conformément à l'article 12, 3 du RGPD.