# Politique de confidentialité **Dernière mise à jour:** 24 octobre 2026 ## 1. Responsable du traitement Antonio Fernández Porrúa, entrepreneur individuel exploitant promethia.dev.\ Identifiant fiscal espagnol (NIF) : 71643249C.\ Adresse : Muros del Nalón 7 5N, 33012 Oviedo, Espagne.\ Contact : [support@promethia.dev](mailto:support@promethia.dev). ## 2. Données collectées et finalités - **Clés API pour GitHub Actions :** le titulaire du compte peut créer et révoquer des clés pour livrer des versions de code à l’application de la clé. Nous conservons empreinte, préfixe, nom, date de création et dernier usage autorisé, jamais la clé complète. Elles n’expirent pas automatiquement ; la révocation supprime leur enregistrement. Une clé peut livrer des ZIP, mais pas lire les rapports, configurer les règles ou administrer le compte. GitHub conserve le secret du dépôt. L’Action enregistre identifiant de version, commit et empreinte du ZIP. La règle choisie et confirmée par le propriétaire détermine le lancement d’une évaluation ; la livraison ne déclenche aucun paiement et ne confirme pas la fin de l’analyse. - **Comptes et invitations :** Clerk gère l’identité et les sessions. Promethia conserve l’identifiant du compte, l’entreprise, le stade, l’étape visée, les questions partagées, l’acceptation des conditions et les dates pour gérer la demande et le service (RGPD, art. 6.1.b). Les invitations d’évaluation sont limitées à une évaluation ; nous conservons leur empreinte, leur révision et leur expiration, jamais le secret complet. Le lien permet à l’équipe de lire et de mettre à jour le contexte partagé et d’accéder au rapport, mais pas d’administrer d’autres évaluations. Le titulaire du compte peut le révoquer. Les ZIP sont stockés de manière privée avec leur taille, leur empreinte et leur date de réception. Le rapport et sa méthode appartiennent à la même évaluation. - **Contact et contrat :** si vous nous contactez, nous utilisons votre email, votre langue et les informations fournies pour répondre. Lors d’un achat, nous enregistrons la devise et les consentements contractuels pour fournir le service (RGPD, art. 6.1.b). Se connecter n’autorise pas la publication. - **Facturation :** Stripe traite les moyens de paiement, les factures et les coordonnées de facturation. Promethia conserve l’association entre votre compte et son Customer Stripe, les abonnements par application, les commandes et confirmations de paiement (art. 6.1.b et 6.1.c). Les données de carte et les informations fiscales restent chez Stripe. Envoyer un ZIP n’autorise aucun prélèvement supplémentaire ; abonnements et évaluations supplémentaires sont confirmés dans Stripe. - **Journaux techniques:** Cloudflare traite les adresses IP et les métadonnées des requêtes pour servir et protéger le site (intérêt légitime, art. 6.1.f). - **Vérification des certificats :** lorsque vous importez un PDF dans le validateur public, nous le traitons temporairement pour vérifier sa signature, le document certifié et son inclusion dans le registre. Nous ne conservons pas le fichier et ne le transmettons pas au fournisseur d’IA. Les métadonnées des PDF exportés comprennent le document signé et sa preuve d’inclusion ; les blocs contiennent des empreintes, sans documents ni identifiants réels d’autres comptes. - **Notifications :** le tableau de bord privé conserve les événements importants de livraison, d’évaluation et de paiement, les identifiants des ressources, les dates, les montants le cas échéant et l’état de lecture. Seul le titulaire du compte peut les consulter. Ils ne contiennent ni code source, ni documents justificatifs, ni données de carte et n’envoient pas d’e-mails. La revue web optionnelle utilise uniquement les pages, ressources et actions autorisées dans le tableau de bord. L’accès privé accepte un utilisateur de test, un lien temporaire ou un jeton, chiffrés séparément du contexte, révocables et valables au maximum 24 heures. La maintenance supprime les secrets expirés de l’enregistrement actif ; les sauvegardes suivent leur cycle de conservation distinct ; leur utilisation est bloquée dès expiration même si la suppression est en attente. L’agent ne reçoit pas les identifiants. Avec autorisation explicite, le texte des pages privées peut contenir des données réelles, être traité par le fournisseur d’analyse et conservé comme preuve privée ; l’anonymisation complète n’est pas garantie. Les captures de sessions privées sont omises. N’incluez pas de secrets dans les ZIP, documents ou contexte. - **Membres des applications:** Pour partager une application, nous conservons l’adresse e-mail invitée, les identifiants d’application et de compte, le rôle, le créateur de l’invitation, les dates, le statut et la révision. Les invitations expirent après sept jours et nécessitent une connexion avec l’e-mail invité et vérifié. Les propriétaires et administrateurs gèrent les membres. Les administrateurs peuvent aussi publier ou révoquer des certificats après examen du document exact ; les éditeurs modifient le contexte et les documents et demandent des évaluations ; les membres en lecture seule consultent les éléments et résultats autorisés. L’adhésion ne donne pas accès à la facturation du compte propriétaire. Les invitations apparaissent dans le compte du destinataire ; aucun e-mail n’est envoyé automatiquement. ## 3. Applications, documents et rapports privés Le contexte appartient à l’application : description, pratiques déclarées de traitement des données, utilisateurs, marchés et documentation. Chaque évaluation conserve la version utilisée, son ZIP, les lectures de preuves et les rapports séparés. Les documents peuvent être en texte brut, Markdown, PDF ou DOCX. Retirer un document du contexte actif ne supprime pas les copies référencées par des évaluations déjà commencées. Contactez l’assistance pour les demandes d’effacement. L’historique conserve aussi les versions non évaluées. La même politique de conservation et d’effacement s’applique à ces ZIP. Le fournisseur d’IA choisi — OpenAI ou Anthropic — traite les instructions et les parties de code source, de contexte et de documents nécessaires à l’analyse. Les sources publiques sont consultées via un catalogue fermé ; les requêtes n’incluent pas de contenu privé de l’application. Les rapports restent privés. Le titulaire peut publier un certificat signé contenant les constats datés uniquement après examen du contenu et confirmation de la publication. Le code et les documents justificatifs restent privés. ## 4. Cookies Promethia utilise le cookie fonctionnel propriétaire `promethia_lang` pour mémoriser votre langue pendant un an. L’accès au compte utilise aussi les cookies d’authentification nécessaires gérés par Clerk pour maintenir et vérifier la session. Voir la [documentation de Clerk sur les cookies](https://clerk.com/docs/guides/how-clerk-works/cookies). Aucun script d’analyse d’audience ou publicitaire n’est chargé avec la page. Le cookie fonctionnel `promethia_application` mémorise pendant un an la dernière application ouverte dans votre espace privé. Il contient uniquement son identifiant ; l’accès de votre compte est vérifié à chaque requête. ## 5. Sous-traitants Nous utilisons **Clerk** pour l’identité et l’accès au compte, **Cloudflare** pour l’hébergement, le stockage structuré D1 et les objets privés R2, **OpenAI ou Anthropic** pour l’analyse assistée par IA, et **Stripe** pour la facturation lorsqu’il est configuré. Certains traitements peuvent avoir lieu hors de l’EEE selon un mécanisme de transfert applicable. Nous ne vendons pas de données personnelles. ## 6. Conservation Les évaluations demandées via votre compte et leurs fichiers privés font l’objet d’un examen en vue de leur suppression au plus tard 12 mois après leur dernière activité, sauf obligation légale ou besoin justifié de conservation. Promethia examine la conservation de ces fichiers et traite les demandes d’effacement. ## 7. Vos droits Vous pouvez demander l’accès, la rectification, l’effacement, la limitation ou la portabilité, retirer votre consentement le cas échéant, ou vous opposer au traitement en écrivant à [support@promethia.dev](mailto:support@promethia.dev). Vous pouvez aussi saisir l’Agence espagnole de protection des données ([aepd.es](https://www.aepd.es)) ou votre autorité locale de contrôle.