01Responsable de traitement
Sylvain Lejamble, entrepreneur individuel (EI) exerçant sous le nom commercial Lampion, SIREN 947 709 275, Paris (75017), France. Contact : [email protected].
Lampion n'a pas désigné de délégué à la protection des données (DPO), cette désignation n'étant pas obligatoire au regard de ses traitements. Les demandes sont traitées à l'adresse ci-dessus.
02Données collectées
| Catégorie | Données | Origine |
|---|---|---|
| Compte | Nom, adresse e-mail, mot de passe (haché avec bcrypt), langue préférée | Vous, à l'inscription |
| Authentification tierce | Identifiant, adresse e-mail et nom transmis par Google, GitHub ou votre fournisseur SSO | Le fournisseur d'identité |
| Organisation | Nom de l'organisation, rôle, appartenances | Vous |
| Usage | Volumes de calcul, stockage et transfert par projet | Mesure automatique |
| Facturation | Coordonnées de facturation, historique des factures | Vous et Stripe |
| Journal d'audit | Actions effectuées dans la console, horodatage, identifiant d'utilisateur | Automatique |
| Technique | Adresse IP, journaux d'erreur et d'accès | Automatique |
Lampion n'accède jamais au contenu de vos bases de données. Les mesures d'usage portent sur des volumes, pas sur des données.
03Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Créer et gérer votre compte, fournir le service | Exécution du contrat (art. 6.1.b) |
| Confirmer votre adresse e-mail et sécuriser l'inscription | Intérêt légitime — lutte contre les abus (art. 6.1.f) |
| Mesurer la consommation et facturer | Exécution du contrat (art. 6.1.b) |
| Émettre et conserver les factures | Obligation légale (art. 6.1.c) |
| Journaliser les actions (audit, sécurité) | Intérêt légitime — sécurité (art. 6.1.f) |
| Répondre aux demandes de support | Exécution du contrat (art. 6.1.b) |
| Vous informer des nouveautés de Lampion (e-mails « Nouveautés ») | Intérêt légitime — information des clients sur des services analogues à ceux souscrits (art. 6.1.f RGPD, art. L34-5 CPCE). Vous pouvez vous y opposer à tout moment, gratuitement : lien de désinscription dans chaque e-mail ou paramètres de votre compte |
| Vous informer d'une maintenance ou d'une évolution des conditions (e-mails de service) | Exécution du contrat (art. 6.1.b) |
04Destinataires et sous-traitants
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Scaleway SAS | Hébergement du service et des bases | France |
| OVH SAS | Hébergement du plan de données | France |
| Cloudflare, Inc. | Hébergement du site vitrine, protection réseau | Hors UE — clauses contractuelles types |
| Stripe Payments Europe, Limited | Paiement et facturation | Irlande (UE), avec transfert ultérieur à Stripe, LLC (États-Unis) — DPF, clauses contractuelles types (CCT) à titre subsidiaire |
| Plus Five Five, Inc. (Resend) | Envoi des e-mails (transactionnels, de service et nouveautés) | États-Unis — DPF et clauses contractuelles types (CCT) |
| Raintank, Inc. (Grafana Labs) | Supervision technique (métriques et journaux) | UE (Allemagne), transferts vers les États-Unis possibles — clauses contractuelles types (CCT) et DPF |
Le DPF (EU-U.S. Data Privacy Framework) est la décision d'adéquation de la Commission européenne du 10 juillet 2023 ; les clauses contractuelles types sont celles de la décision d'exécution (UE) 2021/914. Le détail figure dans le DPA, section 5.
Aucune donnée n'est vendue ni cédée à des tiers à des fins commerciales.
05Durées de conservation
| Donnée | Durée |
|---|---|
| Compte et organisation | Jusqu'à la suppression du compte |
| Bases de données et sauvegardes | Restaurables pendant 7 jours après la suppression du projet ou de l'organisation, puis supprimées définitivement et automatiquement ; les copies résiduelles conservées par la gestion de versions du stockage objet sont effacées dans les 30 jours suivants |
| Journal d'audit | 12 mois |
| Journaux techniques | 14 jours |
| Factures et pièces comptables | 10 ans (obligation légale, art. L.123-22 Code de commerce) |
06Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité prévus par les articles 15 à 22 du RGPD.
La suppression de compte est disponible directement dans la console et déclenche l'effacement effectif des données associées. Pour toute autre demande : [email protected]. Lampion répond sous un mois.
Vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés), 3 place de Fontenoy, 75007 Paris — cnil.fr.
07Sécurité
Chiffrement en transit (TLS), mots de passe hachés avec bcrypt, cloisonnement des organisations, contrôle d'accès par rôle, journalisation des actions sensibles, et session d'administration distincte, qui expire après une période d'inactivité.
Les mesures techniques et organisationnelles sont détaillées dans le DPA.