Code Ahead Lda (qui exploite VULK sur vulk.dev) est le responsable du traitement des informations personnelles collectées via le Service. Cette page résume la manière dont nous respectons le Règlement général sur la protection des données de l’UE (règlement (UE) 2016/679, « RGPD »).
1. Qui est le responsable du traitement ?
Code Ahead Lda, société à responsabilité limitée enregistrée au Portugal sous le NIF 519071948, dont le siège social est à Vila do Conde. Pour toute correspondance liée à la confidentialité :
- Utilisez le formulaire de contact avec l’objet « Confidentialité / DPO »
- Courrier : Code Ahead Lda, Vila do Conde, Portugal
2. Bases juridiques du traitement
Nous nous appuyons sur les bases juridiques suivantes au titre de l’article 6 :
- Contrat (art. 6(1)(b)) — pour fournir le service auquel vous souscrivez (compte, génération, facturation, déploiement).
- Consentement (art. 6(1)(a)) — pour les emails marketing, les cookies non essentiels et la mesure d’audience.
- Obligation légale (art. 6(1)(c)) — pour la facturation fiscale (conservation 7 ans selon le droit portugais) et les réponses aux demandes légales.
- Intérêts légitimes (art. 6(1)(f)) — prévention de la fraude, sécurité du service et analyses produit ne permettant pas d’identifier les personnes.
3. Ce que nous collectons
- Données de compte — email, nom, hachage du mot de passe (Argon2id), identifiants OAuth.
- Données de facturation — nom, pays, moyen de paiement (tokenisé par Stripe — nous ne voyons jamais les numéros de carte).
- Données de projet — prompts, fichiers source générés, déploiements, crédits d’utilisation.
- Données techniques — IP, agent utilisateur, empreinte d’appareil (limitée), horodatages de session.
4. Vos droits au titre du RGPD
Vous disposez des droits suivants, exerçables gratuitement :
- Article 15 — droit d’accès : télécharger une copie de toutes les données personnelles que nous détenons.
- Article 16 — droit de rectification : corriger les données inexactes.
- Article 17 — Droit à l’effacement (« droit à l’oubli ») : supprimer votre compte et les données associées, sous réserve des obligations de conservation.
- Article 18 — droit à la limitation : suspendre le traitement pendant l’examen d’un litige.
- Article 20 — droit à la portabilité : exporter vos données dans un format lisible par machine (JSON).
- Article 21 — droit d’opposition : refuser le marketing ou les traitements de type profilage.
- Article 22 — Décision automatisée : nous ne vous soumettons à aucune décision fondée uniquement sur un traitement automatisé produisant des effets juridiques ou d’importance comparable.
- Article 77 — Déposer une réclamation : auprès de votre autorité de contrôle. Au Portugal : CNPD.
Nous répondons aux demandes de droits vérifiées sous 30 jours. La plupart des données sont aussi accessibles en libre-service dans les paramètres de votre compte.
5. Sous-traitants
Nous faisons appel aux sous-traitants suivants. Chacun a signé avec nous un accord de traitement des données (DPA) :
| Fournisseur | Finalité | Région |
|---|---|---|
| AWS RDS | Base de données principale (Postgres 16) | UE (Francfort) |
| Hetzner | Serveurs de l'application et aperçus des projets | UE (Falkenstein, Allemagne) |
| Cloudflare | CDN, DDoS, Workers, stockage d’objets R2 | Traitement mondial ; juridiction R2 : par défaut (sans restriction à l’UE) |
| Stripe | Facturation des abonnements + 3DS | États-Unis / UE |
| OpenRouter | Passerelle de modèles d’IA | États-Unis |
| Vertex AI (Google) | Inférence de la famille Gemini | Régions UE, lorsque disponibles |
| Anthropic | Inférence Claude | États-Unis |
| OpenAI | Inférence de la famille GPT-5 | États-Unis |
| Replicate | Génération d'images et de vidéos | États-Unis |
| Tencent Cloud | Génération de modèles 3D | Singapour |
| Resend | E-mails transactionnels | États-Unis |
| Sentry | Suivi des erreurs (données personnelles masquées) | UE (stockage des données) |
| Google Analytics 4 | Mesure d’audience du site (Consent Mode : aucun cookie sans consentement) | États-Unis |
| Microsoft Clarity | Enregistrements de session et cartes de chaleur sur vulk.dev, uniquement après consentement | États-Unis |
| Meta | Mesure des conversions publicitaires (Pixel uniquement après consentement ; Conversions API à l’inscription et au paiement) | États-Unis |
Pour les transferts hors UE, nous nous appuyons sur les clauses contractuelles types (CCT) approuvées par la Commission européenne. La liste des sous-traitants est mise à jour au moins une fois par an ; tout ajout important est annoncé par e-mail.
6. Transferts internationaux
Notre infrastructure principale est hébergée dans l’UE. Lorsque des transferts vers des pays hors UE ont lieu (par exemple, inférence IA via les points d’accès américains d’OpenAI/Anthropic), ils sont protégés par des CCT et, lorsque disponibles, par les certifications du cadre de protection des données UE–États-Unis. La génération de modèles 3D s’exécute chez Tencent Cloud à Singapour, avec les mêmes garanties.
7. Accord de traitement des données (DPA)
Les clients Business et Enterprise peuvent signer un accord de traitement des données (DPA) reprenant les dispositions de l'article 28(3) du RGPD. Faites-en la demande via le formulaire de contact avec le sujet « Ventes / Enterprise ».
8. Notification de violation
En cas de violation de données personnelles susceptible d’entraîner un risque pour vos droits, nous notifions l’autorité de contrôle sous 72 heures et les utilisateurs concernés sans délai indu (articles 33, 34 du RGPD).
9. Enfants
VULK ne s’adresse pas aux personnes de moins de 16 ans. Nous ne traitons pas sciemment de données d’enfants. Si vous pensez qu’un enfant s’est inscrit, contactez-nous immédiatement : nous supprimerons le compte.
10. Modifications
Toute modification importante de cette déclaration RGPD est annoncée par e-mail au moins 14 jours avant son entrée en vigueur. La dernière version est toujours disponible sur /gdpr.