1. Qui sommes-nous ?
StratClara (ci-après « nous », « StratClara ») est une solution SaaS de diagnostic et de pilotage stratégique destinée aux dirigeants de PME et d’ETI. La plateforme est éditée par MVH Innovation SAS, 31 rue des Laitières, 94300 Vincennes, France (RCS Créteil 103 448 866), et accessible à l’adresse app.stratclara.com.
Contact : [email protected]
2. Responsable de traitement ou sous-traitant
MVH Innovation SAS est responsable de traitement pour les données nécessaires à la gestion de la relation avec ses clients et prospects : comptes d’accès et leur sécurité, journaux techniques, demandes envoyées depuis la page d’accueil, facturation.
Pour les données personnelles que l’entreprise cliente fait traiter dans le Service (collaborateurs invités, informations saisies dans le diagnostic, les canevas, les plans d’actions), l’entreprise cliente est responsable de traitement et MVH Innovation SAS agit en qualité de sous-traitant au sens de l’article 28 du RGPD. Cette relation est encadrée par l’accord de sous-traitance (DPA), annexé aux conditions générales.
3. Données collectées
Nous collectons les données suivantes :
- Données de compte : nom, adresse e-mail professionnelle, rôle (dirigeant, collaborateur, consultant), langue d’affichage. Il n’y a pas d’inscription libre ni de mot de passe : l’accès est ouvert par un consultant StratClara et la connexion se fait par lien envoyé par e-mail.
- Données d’entreprise déclarées : raison sociale, SIREN, secteur (code NAF), taille et effectif, chiffre d’affaires, résultat, lignes produit, réponses au diagnostic. Ce sont des données d’entreprise ; elles deviennent des données personnelles lorsqu’elles se rapportent à une personne identifiable (par exemple un entrepreneur individuel).
- Logo de l’entreprise : récupéré sur le site web public de l’entreprise.
- Contenus créés dans le Service : canevas (BMC, SWOT, VPC), arbres stratégiques, plans d’actions, notes, analyses de marché, rapports et liens de partage.
- Délégation de questions : nom et adresse e-mail des collaborateurs que vous invitez à répondre à certaines questions, et leurs réponses.
- Demandes : nom, entreprise, e-mail, téléphone (facultatif) et message envoyés par le formulaire de la page d’accueil ou par une demande de mise en relation avec un expert.
- Données techniques et de sécurité : adresse IP, navigateur, identifiants de session, journaux d’audit des actions significatives (connexions, invitations, accès des consultants, partages).
Aucune donnée relevant des catégories particulières (article 9 du RGPD : santé, opinions, etc.) n’est demandée. Merci de ne pas en saisir dans les champs libres.
4. Finalités et bases légales
Vos données sont utilisées pour :
- Fournir le Service : diagnostic, score de maturité, manque à gagner estimé, recommandations, ateliers, plans d’actions, canevas, rapports PDF et liens de partage — exécution du contrat (art. 6.1.b RGPD).
- Rédiger l’analyse de marché et pré-remplir certains contenus à l’aide d’un modèle de langage (section 6) — exécution du contrat.
- Permettre à votre consultant StratClara de vous accompagner, y compris en consultant votre espace en lecture seule (section 7) — exécution du contrat et intérêt légitime (assistance, art. 6.1.f).
- Sécuriser le Service : authentification, prévention des abus, journaux d’audit — intérêt légitime.
- Répondre aux demandes envoyées depuis la page d’accueil et organiser les mises en relation avec un expert — mesures précontractuelles prises à votre demande (art. 6.1.b) ou intérêt légitime.
- Vous envoyer les e-mails liés à votre compte (lien de connexion, invitation, notifications) — exécution du contrat.
- Respecter nos obligations légales et comptables (facturation) — obligation légale (art. 6.1.c).
Aucune donnée n’est utilisée à des fins publicitaires, revendue, ni utilisée pour entraîner des modèles d’intelligence artificielle.
5. Demandes envoyées depuis la page d’accueil
Le formulaire « Demander un diagnostic » recueille votre nom, le nom de votre entreprise, votre e-mail, votre téléphone si vous le donnez, et votre message. Ces coordonnées servent uniquement à vous recontacter au sujet de votre demande.
La demande est transmise par e-mail à l’équipe StratClara ([email protected]) via notre prestataire d’envoi d’e-mails ; elle n’est pas enregistrée dans la base de l’application. Pour limiter les abus, le nombre de demandes est plafonné par adresse IP : seule une empreinte irréversible (SHA-256) de l’adresse est conservée, une heure au plus.
Les demandes de mise en relation avec un expert suivent le même chemin : l’équipe StratClara fait l’intermédiaire et transmet votre demande à l’expert concerné, qui devient alors destinataire de vos coordonnées et de votre message.
Durée de conservation des demandes dans la messagerie de l’équipe : douze (12) mois après le dernier échange, ou douze (12) mois après la fin du contrat si la demande a abouti à un contrat. Elles sont reçues dans la messagerie professionnelle de l’équipe.
6. Analyse de marché et intelligence artificielle
L’analyse de marché est rédigée par un modèle de langage à partir du site web public de l’entreprise et de recherches web sur son marché et ses concurrents. Sont envoyés :
- au modèle de langage (Mistral AI) : le contenu du site public, le secteur et les éléments du diagnostic nécessaires à l’analyse ;
- au moteur de recherche (Brave Search) : des requêtes portant sur le marché et les concurrents, sans donnée personnelle.
La recherche d’entreprise (raison sociale, SIREN, code NAF) interroge l’API publique recherche-entreprises.api.gouv.fr, qui ne renvoie que des données publiques.
Les contenus générés par l’IA peuvent comporter des erreurs ou des approximations : ils sont une aide à la réflexion, à vérifier avant toute décision.
7. Accès des consultants à votre espace
Pour vous accompagner, un consultant StratClara disposant des droits d’administration peut ouvrir votre espace « en tant que » vous. Cet accès est en lecture seule : aucune modification n’est possible. Il est limité à une heure par ouverture, et chaque accès est journalisé (début, fin, auteur).
8. Sous-traitants et destinataires
Vos données sont accessibles à l’équipe StratClara habilitée et aux personnes que votre entreprise invite. Nous faisons appel aux prestataires suivants :
| Prestataire | Finalité | Données | Pays | Garanties |
|---|---|---|---|---|
| OVH SAS | Hébergement des serveurs : application, base de données, cache. | Toutes les données du Service. | France | Union européenne. Contrat de sous-traitance (art. 28 RGPD). |
| Cloudflare, Inc. | Réseau, DNS, chiffrement TLS et protection contre les attaques ; stockage des sauvegardes chiffrées (Cloudflare R2). | Trafic transitant vers le Service (adresse IP, requêtes) ; sauvegardes chiffrées avant envoi, illisibles pour Cloudflare. | États-Unis (société) ; sauvegardes R2 en juridiction Union européenne | Accord de traitement des données ; clauses contractuelles types (décision 2021/914). |
| Resend | Envoi des e-mails transactionnels (liens de connexion, invitations, notifications, demandes). | Adresse e-mail du destinataire, contenu du message. | Union européenne (région d'envoi) ; société aux États-Unis | Envoi depuis la région Union européenne ; accord de traitement des données ; clauses contractuelles types. |
| Mistral AI | Modèle de langage pour la rédaction de l'analyse de marché et le pré-remplissage. | Site web public de l'entreprise, secteur, éléments du diagnostic nécessaires à l'analyse. Pas d'utilisation pour l'entraînement des modèles. | France | Union européenne. Conditions de traitement des données de Mistral AI. |
| Brave Software, Inc. (Brave Search) | Recherches web de l'analyse de marché. | Requêtes portant sur le marché et les concurrents, sans donnée personnelle. | États-Unis | Aucune donnée personnelle transmise. |
Aucun outil de mesure d’audience, aucune publicité, aucun cookie tiers. Aucune donnée n’est vendue à des tiers. Les liens de partage que vous créez donnent accès au rapport à toute personne qui en dispose ; vous pouvez y masquer les chiffres financiers et les révoquer.
Toute modification de cette liste est annoncée aux clients conformément à l’article 6 du DPA.
9. Transferts hors de l’Union européenne
Les données sont hébergées en France. Certains prestataires sont des sociétés établies aux États-Unis (Cloudflare, Resend, Brave) ; les e-mails sont envoyés depuis la région Union européenne de Resend, et les sauvegardes sont stockées en juridiction Union européenne. Tout transfert hors de l’Union européenne est encadré par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914).
10. Durée de conservation
- Données de compte et données d’entreprise : pendant la durée du contrat, puis suppression douze (12) mois après sa fin (cf. article 12 des conditions générales), sauf obligation légale de conservation contraire.
- Sessions : 30 jours au plus ; lien de connexion valable 24 heures, à usage unique ; accès consultant en lecture seule : une heure.
- Journaux d’audit et de sécurité : durée du contrat, puis douze (12) mois après sa fin.
- Sauvegardes : base de données chiffrée (GPG) toutes les 6 heures, conservée 30 jours sur Cloudflare R2 (juridiction Union européenne) et 7 jours sur le serveur. Une donnée supprimée disparaît donc des sauvegardes au plus tard 30 jours après sa suppression.
- Données de facturation : 10 ans (obligation légale).
- Demandes envoyées depuis la page d’accueil : voir la section 5.
11. Vos droits RGPD
Conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants :
- Droit d’accès — obtenir une copie de vos données.
- Droit de rectification — corriger des données inexactes.
- Droit à l’effacement — demander la suppression de votre compte et de vos données.
- Droit à la limitation — demander le gel temporaire d’un traitement.
- Droit à la portabilité — recevoir vos données dans un format structuré.
- Droit d’opposition — vous opposer aux traitements fondés sur l’intérêt légitime.
- Directives post-mortem — définir le sort de vos données après votre décès.
Pour exercer ces droits : [email protected]. Lorsque vos données sont traitées pour le compte de votre entreprise (section 2), nous transmettons votre demande à celle-ci et l’aidons à y répondre.
Vous pouvez également introduire une réclamation auprès de la CNIL.
12. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données : hébergement en France, chiffrement TLS en transit, connexion sans mot de passe par lien à usage unique, cloisonnement strict des données par entreprise cliente, accès restreint par rôle, accès des consultants en lecture seule et journalisés, sauvegardes chiffrées avant leur envoi hors du serveur. Le détail figure à l’annexe 2 du DPA.
14. Modifications
Cette politique peut être mise à jour. En cas de modification substantielle, nous vous en informerons par e-mail au moins 15 jours avant l’entrée en vigueur.