Politique de confidentialité

Conforme RGPD (UE 2016/679) — Mise à jour : 18 mai 2026

Assemblages s’engage à protéger les données personnelles de ses utilisateurs conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi Informatique & Libertés du 6 janvier 1978 modifiée. La présente politique décrit les traitements effectués, leurs finalités, durées, et les droits dont bénéficient les personnes concernées.

1. Responsable du traitement

Assemblages, éditeur personne physique non professionnelle en phase de test pré-lancement (cf. mentions légales — application de l’article 6-III-2 LCEN), agit comme responsable de traitement au sens de l’article 4 (7) du RGPD pour les traitements decrits ci-dessous. L’identité civile complète du responsable est régulièrement communiquée à l’hébergeur et peut être obtenue par les autorités compétentes sur réquisition judiciaire, ainsi que par les personnes concernées dans le cadre d’une demande d’exercice de leurs droits RGPD (art. 15 à 22) adressée à rgpd@assemblages-app.com.

• Contact général : contact@assemblages-app.com
• Contact RGPD / DPO : rgpd@assemblages-app.com

Au regard du seuil de salariés et de la nature des traitements, la désignation d’un Délégué à la Protection des Données (DPO) n’est pas obligatoire (art. 37 RGPD). Un référent RGPD interne assure néanmoins le suivi des demandes et la conformité continue.

2. Données collectées et finalités

2 bis. Prospection professionnelle vignerons

Conformément à l’article L. 34-5 du Code des postes et des communications électroniques (transposition de la Directive 2002/58/CE), Assemblages peut adresser des emails de prospection professionnelle à des contacts de personnes morales (domaines viticoles non inscrits sur la plateforme) lorsque les conditions cumulatives suivantes sont réunies :

• Le destinataire est un professionnel et l’email lui est adressé en sa qualité professionnelle ;
• Le sujet de l’email est en lien direct avec l’activité du destinataire (référencement d’un domaine viticole sur une plateforme d’accords mets-vins) ;
• Une faculté de s’opposer simplement et gratuitement est offerte dans chaque message (lien « Se désinscrire » visible) ;
• L’origine du message est clairement identifiable (mention transparente sur l’origine de la donnée — domaine recherché X fois sur la plateforme).

Sources des contacts prospects :

• API SIRENE de l’INSEE (open data) — récupération SIRET, adresse, site web public.
• Pages « Contact » publiquement accessibles sur les sites web officiels des domaines.
• Enrichissement manuel administrateur (recherche dans annuaires professionnels publics).

Aucune donnée n’est achetée auprès de courtiers en données. Aucune donnée de prospection particulière (B2C) n’est constituée par cette méthode.

Droit d’opposition : chaque email contient un lien de désinscription en un clic (compatible RFC 8058 « List-Unsubscribe »). Une fois exercé, l’adresse est ajoutée à une liste de suppression (hash SHA-256 uniquement, l’email en clair n’est jamais conservé) et ne recevra plus jamais aucun email d’Assemblages. Une demande complémentaire de suppression de toute trace (y compris du nom de domaine viticole dans la base prospects) peut être adressée à rgpd@assemblages-app.com ; elle est traitée sous 30 jours (art. 12.3 RGPD).

3. Sources des données

Les données des utilisateurs inscrits sont collectées directement auprès de la personne (formulaires, compte, paiement, géolocalisation avec consentement navigateur).

Les données des prospects vignerons non inscrits proviennent exclusivement de sources publiques : API SIRENE de l’INSEE (open data), pages « Contact » publiquement accessibles sur les sites des domaines, et enrichissement manuel administrateur depuis des annuaires professionnels publics. Cf. section 2 bis ci-dessus.

Aucune donnée n’est achetée auprès de courtiers en données.

4. Sous-traitants (art. 28 RGPD)

Assemblages fait appel aux sous-traitants suivants, tous engagés par contrat de sous-traitance conforme à l’article 28 RGPD :

La liste à jour des sous-traitants est consultable sur demande à rgpd@assemblages-app.com. Toute modification substantielle est notifiée aux clients B2B avec un préavis de 30 jours permettant l’exercice du droit d’opposition (cf. DPA).

5. Transferts hors UE (art. 44-49)

Les transferts hors Union européenne (Anthropic, Stripe pour vérifications anti-fraude, Apple/Google pour push tokens) sont encadrés par :

• les Clauses Contractuelles Types (CCT) de la Commission européenne (Décision 2021/914) ;
• le Data Privacy Framework UE-USA (Décision d’adéquation 2023/1795) lorsque le sous-traitant est certifié ;
• des mesures techniques supplémentaires : pseudonymisation, chiffrement en transit (TLS 1.3), absence d’envoi de données sensibles à l’IA Anthropic.

6. Vos droits (art. 15 à 22 RGPD)

L’Utilisateur peut exercer à tout moment les droits suivants sans frais :

• Accès (art. 15) — exporter toutes ses données personnelles : GET /api/rgpd/export depuis son compte.
• Rectification (art. 16) — modifier ses informations depuis son tableau de bord.
• Effacement (art. 17, « droit à l’oubli ») — supprimer définitivement son compte et toutes données associées : POST /api/rgpd/delete-account. La suppression est irréversible et effective sous 30 jours (purge des sauvegardes).
• Limitation (art. 18) et opposition (art. 21) — par email à rgpd@assemblages-app.com avec preuve d’identité.
• Portabilité (art. 20) — l’export RGPD est fourni au format JSON structuré et lisible par machine.
• Refus du profilage (art. 22) — voir section 7 ci-dessous.
• Réclamation — adresse à la CNIL (autorité de contrôle française) ou à l’autorité de contrôle de votre État membre.

Délai de réponse : 1 mois (art. 12.3), prolongeable à 3 mois pour les demandes complexes après notification motivée.

7. Décision automatisée et profilage (art. 22)

Le Service propose des accords mets-vins issus d’un calcul algorithmique de distance moléculaire et un profilage gustatif personnalisé fondé sur les favoris. Aucune décision produisant des effets juridiques ou affectant significativement l’Utilisateur n’est prise de manière automatisée. Les scores affichés sont des suggestions techniques librement modifiables.

L’Utilisateur peut refuser le profilage gustatif à tout moment depuis la page /profil-gout (bouton « Réinitialiser mon profil ») ou désactiver les overrides manuels. Aucune perte d’accès au Service n’en résulte.

8. Sécurité (art. 32)

• Chiffrement TLS 1.3 sur toutes les communications client-serveur
• Mots de passe stockés sous forme hachée bcrypt par Supabase Auth
• Row Level Security (RLS) Postgres pour cloisonner les données par compte
• Contrôle d’accès basé sur les rôles (RBAC) avec principe du moindre privilège
• Logs d’audit avec IP hachée (jamais en clair)
• Sauvegardes chiffrées quotidiennes avec rétention 30 jours
• Tests de sécurité automatisés à chaque déploiement (lint, type-check)
• Politique de divulgation responsable des vulnérabilités (à security@assemblages-app.com)

9. Notifications de violation (art. 33-34)

En cas de violation de données susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, Assemblages notifie la CNIL dans les 72 heuresaprès en avoir pris connaissance et, en cas de risque élevé, informe directement les personnes concernées dans les meilleurs délais.

10. Mineurs

Le Service n’est pas destiné aux personnes mineures. Aucune collecte volontaire de données concernant des personnes de moins de 15 ans n’est effectuée (art. 8 RGPD + art. 7-1 LIL). Tout compte créé par un mineur sera supprimé sur notification.

11. Modification de la politique

Toute modification substantielle est notifiée par email aux utilisateurs disposant d’un compte avec un préavis de 30 jours. La version applicable est celle en vigueur à la date de collecte de la donnée.