Responsable du traitement
Le responsable du traitement des données personnelles collectées via le site kosmo.studio est :
KOSMO SAS
Zone Odysseum / Cambacérès — 34000 Montpellier, France
SIRET : ___________ (à compléter après immatriculation)
Représenté par : [Nom du Président de la SAS]
Délégué à la Protection des Données (DPO) : dpo@kosmo.studio — KOSMO SAS — Service DPO — Zone Odysseum / Cambacérès — 34000 Montpellier.
Données collectées & finalités
KOSMO SAS collecte les données personnelles suivantes selon les contextes :
| Contexte | Données collectées | Base légale | Durée |
|---|---|---|---|
| Création de compte membre | Nom, prénom, email, mot de passe haché, discipline | Exécution du contrat | Durée de l'abonnement + 3 ans |
| Réservation studio | Identité, contact, projet, données de facturation | Exécution du contrat | 10 ans (obligation comptable) |
| Paiement en ligne | Données de carte bancaire (traitées par Stripe uniquement) | Exécution du contrat | Non stockées par KOSMO |
| Formulaire de contact | Nom, email, message, sujet | Intérêt légitime | 3 ans après dernier contact |
| Newsletter | Email, préférences éditoriales | Consentement | Jusqu'à désinscription |
| Analytics anonymisés | Pages visitées, durée, source de trafic (IP tronquée) | Consentement | 13 mois maximum |
| Profil portfolio public | Photo, bio, projets, liens publiés par le membre | Consentement explicite | Jusqu'à suppression du compte |
Sous-traitants & destinataires des données
KOSMO SAS fait appel aux sous-traitants suivants, tous soumis à des contrats conformes au RGPD :
| Sous-traitant | Finalité | Localisation | Garanties |
|---|---|---|---|
| Clerk Inc. | Authentification membres | États-Unis | CCT (UE) |
| Stripe Inc. | Paiements en ligne (PCI DSS 1) | UE / États-Unis | CCT (UE) |
| Resend Inc. | Envoi d'emails transactionnels | États-Unis | CCT (UE) |
| Supabase Inc. | Base de données applicative | UE (Francfort) | RGPD natif |
| Vercel Inc. | Hébergement site web | États-Unis / UE | CCT (UE) |
| Cloudflare Inc. | CDN, sécurité réseau | UE | CCT (UE) |
| PostHog | Analytics comportemental anonymisé | UE | RGPD natif |
| Sanity.io | Gestion de contenu (CMS) | UE / États-Unis | CCT (UE) |
Aucune donnée n'est revendue à des tiers à des fins commerciales.
Vos droits
Conformément au RGPD, vous disposez des droits suivants concernant vos données personnelles :
- Droit d'accès (article 15 RGPD) : obtenir une copie des données vous concernant
- Droit de rectification (article 16 RGPD) : corriger des données inexactes
- Droit à l'effacement (article 17 RGPD) : demander la suppression de vos données
- Droit à la portabilité (article 20 RGPD) : recevoir vos données dans un format structuré
- Droit d'opposition (article 21 RGPD) : vous opposer à certains traitements
- Droit à la limitation (article 18 RGPD) : limiter temporairement le traitement
- Droit de retirer votre consentement à tout moment, sans frais
Pour exercer vos droits : dpo@kosmo.studio ou par courrier à KOSMO SAS — Service DPO — Zone Odysseum / Cambacérès — 34000 Montpellier.
Délai de réponse : 1 mois maximum à compter de la réception de votre demande (avec pièce d'identité).
Réclamation : Vous pouvez introduire une réclamation auprès de la CNIL ( www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.
Cookies & traceurs
Cookies strictement nécessaires (pas de consentement requis) :
- Cookie de session (Clerk) — authentification membre — durée : session
- Cookie CSRF — sécurité des formulaires — durée : session
- Cookie de préférences (consentement cookies) — durée : 13 mois
Cookies soumis à consentement :
- PostHog — analytics comportemental (anonymisé) — durée : 12 mois
- Plausible — statistiques de visite (sans données personnelles) — durée : session
Cookies tiers :
- Stripe.js — prévention fraude paiement — nécessaire pour les transactions
Gestion : Vous pouvez à tout moment modifier vos préférences via le panneau de gestion des cookies accessible en bas de chaque page.
Sécurité des données
- Chiffrement HTTPS/TLS 1.3 sur l'ensemble du site
- Mots de passe hachés (bcrypt) — jamais stockés en clair
- Données de paiement gérées exclusivement par Stripe (PCI DSS niveau 1)
- Accès aux données restreint aux personnes habilitées avec authentification MFA
- Sauvegardes quotidiennes chiffrées de la base de données
- Politique de mot de passe fort imposée pour les accès admin
Transferts hors UE
Certains sous-traitants (Clerk, Stripe, Vercel, Resend) sont établis aux États-Unis. Ces transferts sont encadrés par des Clauses Contractuelles Types (CCT) approuvées par la Commission Européenne conformément à l'article 46 du RGPD, garantissant un niveau de protection équivalent à celui offert dans l'UE.
Modification de la politique
KOSMO SAS se réserve le droit de modifier la présente politique à tout moment. En cas de modification substantielle, les utilisateurs seront informés par email au moins 30 jours avant l'entrée en vigueur. La date de la dernière mise à jour est indiquée en haut du document.