Politique de confidentialité

Données collectées

• Compte : nom, prénom, adresse électronique et identifiant, transmis par Clerk lors de votre inscription.
• Portfolio : tout ce que vous y saisissez, dont votre biographie, votre localisation, votre numéro de téléphone, vos expériences, vos formations, vos projets et vos liens sociaux.
• Fichiers : photo de profil, visuels de projets et pièces jointes que vous téléversez.
• Abonnement : identifiants Stripe, état et dates de votre abonnement.
• Consultations : pour chaque visite d'un portfolio public, une empreinte de l'adresse IP, le pays, le type d'appareil et la page d'origine.
• Mesure d'audience du site : voir la politique de cookies.

Nous ne voyons ni votre mot de passe ni vos moyens de paiement : ils sont détenus par Clerk et par Stripe, et ne transitent pas par nos serveurs.

Finalités et bases légales

• Créer et tenir votre compte, publier votre portfolio, gérer votre abonnement : exécution du contrat.
• Assurer la sécurité du service, prévenir les abus et répondre au support : intérêt légitime.
• Mesurer l'audience avec Umami, qui n'écrit rien sur votre appareil : intérêt légitime.
• Compter les consultations de votre portfolio pour vous en rendre compte : exécution du contrat.
• Analyser un portfolio ou rédiger une description à votre demande : exécution du contrat.

Fichiers téléversés

Les images et documents que vous ajoutez sont écrits sur le disque du serveur qui héberge le site, et servis à une adresse commençant par /storage/. Ils ne servent qu'à afficher votre portfolio.

Point à connaître avant de téléverser : cette adresse n'est protégée par aucun contrôle de visibilité. Un fichier reste accessible à qui en connaît l'adresse même après que le portfolio est repassé en privé, et tant qu'il n'a pas été effacé du disque. Ne déposez donc rien que vous ne seriez pas prêt à rendre public.

Mesure d'audience et publicité

Le site ne charge plus qu'Umami, hébergé par nos soins sur stats.saro.app. Umami ne dépose aucun cookie et n'écrit rien sur votre appareil : une visite est rattachée à une session par une empreinte calculée sur le serveur, dont le sel change chaque jour. Google Analytics et Google Ads ont été retirés le 22 août 2026 : plus aucune balise Google n'est chargée.

Consultations des portfolios

Chaque visite d'un portfolio public est comptée pour son propriétaire. L'adresse IP du visiteur n'est pas conservée : elle sert à calculer une empreinte, propre à chaque portfolio, qui évite de compter deux fois la même personne dans la journée. Ces empreintes sont effacées au bout de sept jours. Restent ensuite des totaux par jour, par pays, par type d'appareil et par page d'origine, qui n'identifient personne.

Fonctions d'intelligence artificielle

Quand vous demandez une analyse de votre portfolio ou la rédaction d'une description, le contenu concerné est transmis à OpenAI pour être traité. Selon la fonction appelée, cela comprend votre nom, votre biographie, votre localisation, vos employeurs, vos clients, vos projets et vos formations. Ces appels ne partent que sur votre action, et les analyses produites sont conservées dans votre portfolio.

Destinataires et sous-traitants

Nous ne vendons aucune donnée. Les prestataires suivants en traitent pour notre compte :

• OVHcloud (OVH SAS, France) : hébergement du site, de la base de données et des fichiers.
• Clerk (Clerk.com, États-Unis) : inscription, connexion et gestion des comptes.
• Svix (États-Unis) : signature et acheminement des notifications envoyées par Clerk à notre serveur.
• Stripe (Stripe Payments Europe et Stripe Inc.) : paiement et gestion des abonnements.
• Resend (États-Unis) : envoi du message qui nous prévient d'une nouvelle inscription.
• OpenAI (OpenAI, États-Unis) : analyses et rédactions demandées depuis l'éditeur de portfolio.

À déclarer sans détour : chaque inscription déclenche l'envoi d'un message vers une boîte Gmail personnelle de l'éditeur. Ce message contient le nom, l'adresse électronique et l'identifiant du nouvel inscrit. Google est donc aussi destinataire de cette information.

Transferts hors de l'Union européenne

Clerk, Svix, Resend, OpenAI et une partie de Stripe sont établis aux États-Unis. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne et, lorsque le prestataire y a adhéré, sur le cadre de protection des données entre l'Union européenne et les États-Unis.

Les versions précédentes de cette page invoquaient le Privacy Shield. Il a été invalidé en 2020 et ne fonde plus aucun transfert.

Durées de conservation

• Mesure d'audience du site (Umami) : 25 mois, plafond recommandé par la CNIL.
• Empreintes servant à dédoublonner les visites d'un portfolio : 7 jours, purge exécutée à chaque visite enregistrée.
• Statistiques de consultation agrégées par jour : tant que le portfolio existe, effacées avec lui.
• Compte, portfolio et fichiers téléversés : tant que le compte existe ; effacés dès que le compte est supprimé chez Clerk (fichiers sur disque compris).
• Abonnement : tant que le compte existe. Les pièces comptables (factures) sont conservées dix ans par Stripe et par l'éditeur, obligation légale.
• Analyses et descriptions produites par l'intelligence artificielle : les analyses tant que le portfolio existe ; une description générée fait partie du contenu du portfolio et suit son sort ; les compteurs journaliers de quota sont effacés avec le compte.
• Notifications d'inscription reçues par courrier électronique : douze mois au plus dans la messagerie de l'éditeur.

Chaque durée ci-dessus est appliquée par le site lui-même (suppression en cascade, purge à chaque visite) ou par Stripe pour les factures. Seule la conservation des notifications dépend d'un tri manuel de la messagerie de l'éditeur.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre mort. Pour les exercer, écrivez à contact@saro.app.

Il n'existe pas encore de bouton de suppression de compte dans l'application : une demande adressée à contact@saro.app est traitée à la main.

Vous pouvez également introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, 75334 Paris Cedex 07, www.cnil.fr.

Sécurité

Les échanges avec le site sont chiffrés par TLS. Les mots de passe sont détenus par Clerk et ne transitent jamais par nos serveurs. Les données de carte sont traitées par Stripe, certifié PCI-DSS. Le serveur, la base de données et les fichiers sont administrés par l'éditeur, en France.