1. Introduction

La présente Politique de Confidentialité décrit la manière dont Aymeric Pont, entrepreneur individuel (EI), (ci-après « Penko », « nous ») collecte, utilise, stocke et protège les données personnelles des utilisateurs de la plateforme Penko.

Nous nous engageons à respecter la vie privée de nos utilisateurs conformément au RGPD et à la loi Informatique et Libertés.

2. Responsable du traitement

Identité : Aymeric Pont
SIREN : 102 515 285
Etablissement principal : 2395 RUE des Barrys 26300 Alixan FRANCE
Email : contact@penko.fr

3. Données collectées

3.1 Données d'identification

Nom et prénom
Adresse email professionnelle
Numéro de téléphone
Nom de l'entreprise
Rôle professionnel

Si vous choisissez la connexion via Google (« Se connecter avec Google »), nous recevons de Google votre nom et votre adresse email afin de créer ou de reconnaître votre compte. Nous n'accédons jamais à votre mot de passe Google.

3.2 Données d'utilisation

Historique des projets créés et des mémoires techniques générés
Documents uploadés (DCE, documents d'entreprise, références, ou tout autre document qui aura été transféré sur le site penko.fr)
Interactions avec l'IA (requêtes et réponses)
Journaux de connexion (dates, heures, adresse IP)

3.3 Données techniques

Type de navigateur et version
Système d'exploitation
Pages visitées, site de provenance et durée de visite (voir section 9)

3.4 Non-utilisation des données pour l'entraînement

Les documents et données des utilisateurs ne sont jamais utilisés pour entraîner les modèles d'intelligence artificielle.

4. Finalités du traitement

Finalité	Base légale
Fourniture et gestion du Service	Exécution du contrat (art. 6.1.b RGPD)
Création et gestion du compte utilisateur	Exécution du contrat
Analyse IA et rédaction assistée	Exécution du contrat
Support technique et communication	Intérêt légitime
Amélioration du Service et statistiques d'usage	Intérêt légitime
Mesure d'audience et analyse de la navigation (Google Analytics, Microsoft Clarity)	Consentement (art. 6.1.a RGPD), recueilli par le bandeau cookies
Mesure de l'efficacité de nos annonces (Google Ads)	Consentement (art. 6.1.a RGPD), recueilli par le bandeau cookies
Facturation	Obligation légale (art. 6.1.c RGPD)
Sécurité et prévention des abus	Intérêt légitime

5. Stockage et sécurité des données

5.1 Localisation

Vos données personnelles (compte, documents, fichiers) sont stockées sur des serveurs situés dans l'Union européenne :

Base de données et authentification : Supabase (infrastructure AWS, région EU)
Stockage de fichiers : Supabase Storage (infrastructure AWS, région EU)

Certains traitements techniques sont opérés par des prestataires établis aux États-Unis, sans conservation durable de vos données :

Interface web : Vercel — diffusion de l'application via CDN ; aucune donnée personnelle n'y est stockée
Traitement des documents (extraction, indexation) : Render — documents transmis de manière chiffrée, non conservés au-delà du traitement

5.2 Mesures de sécurité

Chiffrement des données en transit (TLS/HTTPS)
Chiffrement des données au repos (AES-256)
Authentification sécurisée avec confirmation par email + OTP
Contrôle d'accès granulaire basé sur les rôles (Row-Level Security)
Isolation stricte des données par entreprise
Journalisation des accès et des modifications

5.3 Sous-traitants IA

Les documents et requêtes sont transmis de manière chiffrée à notre fournisseur d'IA (OpenAI). Celui-ci ne stocke pas les données au-delà du traitement de la requête.

6. Durée de conservation

Type de données	Durée de conservation
Données de compte	Durée de la relation contractuelle + 3 ans
Documents et projets	Durée de la relation contractuelle + 30 jours après résiliation
Données de facturation	10 ans (obligation comptable)
Journaux de connexion	12 mois
Cookies de session	Durée de la session
Choix exprimé sur le bandeau cookies	13 mois
Cookies Google Analytics (si acceptés)	2 ans maximum
Cookies Microsoft Clarity (si acceptés)	1 an maximum

7. Partage des données

Vos données personnelles ne sont jamais vendues à des tiers. Elles peuvent être partagées avec :

Les membres de votre entreprise : les ressources d'entreprise sont partagées entre les utilisateurs rattachés à la même entreprise.
Nos sous-traitants techniques : hébergement des données (Supabase/AWS, Union européenne), interface web (Vercel, États-Unis), traitement et indexation des documents (Render, États-Unis),

paiement en ligne (Stripe Payments Europe, Irlande), authentification par Google Sign-In si vous choisissez ce mode de connexion (Google LLC, États-Unis), conversion de fichiers, fournisseurs d'IA, et uniquement si vous acceptez les cookies de mesure d'audience : Google Analytics et Google Ads (Google LLC, États-Unis), Microsoft Clarity (Microsoft Corporation, États-Unis)

Les autorités compétentes : uniquement si nous y sommes contraints par la loi.

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

Droit d'accès : obtenir une copie de vos données personnelles
Droit de rectification : corriger des données inexactes ou incomplètes
Droit à l'effacement : demander la suppression de vos données (« droit à l'oubli »)
Droit à la portabilité : recevoir vos données dans un format structuré et lisible
Droit d'opposition : vous opposer au traitement de vos données
Droit à la limitation : demander la limitation du traitement dans certains cas

Pour exercer ces droits, contactez-nous à : contact@penko.fr.

En cas de désaccord, vous pouvez introduire une réclamation auprès de la CNIL (https://www.cnil.fr).

9. Cookies et traceurs

9.1 Traceurs strictement nécessaires (sans consentement)

Session d'authentification : maintien de votre connexion
Préférences d'interface : thème sombre/clair, paramètres d'affichage
Votre choix sur le bandeau cookies : conservé 13 mois, pour ne pas vous le redemander à chaque visite

9.2 Mesure d'audience, uniquement avec votre accord

À votre première visite, un bandeau vous demande votre accord. Si vous cliquez sur « Ça marche », nous utilisons :

Google Analytics (Google LLC) : statistiques de visite (pages vues, provenance, durée)
Google Ads (Google LLC) : mesure de l'efficacité de nos annonces (savoir si une inscription fait suite à un clic sur une annonce)
Microsoft Clarity (Microsoft Corporation) : enregistrement de la navigation (clics, défilement, pages vues) pour repérer ce qui est difficile à utiliser. Pour les utilisateurs connectés, cet enregistrement est rattaché à l'adresse email du compte.

Si vous cliquez sur « Non merci », aucun de ces outils n'est chargé et aucune donnée ne leur est transmise. Votre choix est conservé 13 mois, puis le bandeau vous est de nouveau présenté. Pour changer d'avis avant, supprimez les données de navigation du site penko.fr dans votre navigateur : le bandeau réapparaîtra à votre prochaine visite.

9.3 Mesure de fréquentation interne

Indépendamment du bandeau, Penko mesure lui-même la fréquentation de son site public (pages d'information et page de connexion), sans outil tiers : pages vues, site de provenance, temps passé et défilement, pays et ville (déduits de l'adresse IP, qui n'est jamais conservée). Ces mesures sont associées à un identifiant aléatoire stocké dans votre navigateur, rattaché à votre compte si vous vous inscrivez. La provenance de votre première visite (annonce, campagne, site d'origine) est également enregistrée avec votre compte lors de l'inscription.

10. Modifications

Nous nous réservons le droit de modifier la présente Politique de Confidentialité à tout moment.