RGPD : ce que Clozo stocke sur vous, pourquoi et pendant combien de temps

Clozo est le responsable du traitement pour votre compte (vous, le freelancer). Pour les données concernant vos clients — noms, adresses e-mail, coordonnées de facturation sur les factures que vous émettez — vous êtes le responsable du traitement et Clozo est le sous-traitant. Cette distinction est importante car les demandes d'exercice de droits des personnes concernées relatives aux données client (export, effacement) vous parviennent en premier et c'est vous qui décidez comment y répondre ; Clozo vous fournit les outils pour les satisfaire mais ne possède pas la relation. Voir l'article 11.7 pour le flux de travail pratique.

À partir du 2026-05-19 (déclencheur de mise en production), Clozo met également en œuvre le fondement de conservation légale conformément à [A-021..A-027] : une saga Celery multi-étapes pour l'effacement en cascade RGPD (étapes en base de données uniquement d'abord, puis effets secondaires externes Stripe / R2), désactivation (pas suppression) de Stripe Connect au moment de l'effacement afin que les requerimientos AEAT dans les années 6 à 10 puissent toujours recevoir une réponse via stripe_account_id, pseudonymisation qui conserve vat_number et company_name (l'art. 226(10) + art. 244 de la directive TVA UE les exigent sur les factures conservées), lookup HMAC-SHA-256 User.email_hmac pour qu'un ex-utilisateur puisse être mis en correspondance avec sa ligne des années après anonymisation, et un endpoint public /recover-invoice avec une forte anti-énumération pour que les clients tiers puissent récupérer leurs propres factures conservées légalement à partir de 2031+.

Les 13 activités de traitement actives, regroupées par base juridique selon l'art. 6(1) :

Art. 6(1)(b) Contrat — les données que nous devons traiter pour fournir le service : 1. Création du compte utilisateur — e-mail, nom, pays, langue, hash du mot de passe. Conservé jusqu'à la suppression du compte + 30 jours de grâce. 2. Génération de factures — votre identité commerciale + les données de facturation de votre client + les postes. Conservé 10 ans en vertu de l'art. 244 de la directive TVA UE 2006/112/CE. 3. Facturation de l'abonnement — identifiant client Stripe, plan, e-mail de facturation, adresse de facturation. Conservé 10 ans en vertu de la LGT 58/2003 espagnole + directive TVA UE (nous sommes contrôlés depuis l'Espagne). 4. Traitement des paiements (Stripe Connect) — nom du payeur, adresse de facturation, jeton de mode de paiement, montant de la transaction. Clozo ne détient que l'identifiant et le statut du PaymentIntent ; Stripe détient les données de carte selon son propre périmètre PCI-DSS (~7 ans selon leur politique). 5. E-mail transactionnel (Resend) — e-mail + nom + corps du message du destinataire. Journaux de livraison 1 an ; corps des e-mails non conservés au-delà de la file d'attente d'envoi.

Art. 6(1)(c) Obligation légale — les données que la loi nous impose de conserver : 6. Validation TVA (VIES) — numéro de TVA + code pays, validé par rapport au service SOAP VIES de la Commission européenne. Mis en cache 24 heures. 7. Endpoints RGPD en libre-service — données d'identification + de contact + de facturation + opérationnelles nécessaires pour satisfaire les demandes selon les art. 15 / 17 / 20. Tokens effacés à la première utilisation ou après 14 jours. 8. Registre de fichiers R2 — chaque objet PDF ou XML de facture électronique que le système stocke. Requis par GoBD §147 AO (Allemagne, 10 ans), eIDAS art. 34 (audit de signature 10 ans) et directive TVA UE art. 244. La ligne du registre survit au blob. 9. Journal d'audit administrateur — chaque action administrative modifiant l'état des données utilisateurs. Requis par l'art. 5(2) responsabilité. Conservé pendant la durée de vie du compte de la personne concernée.

Art. 6(1)(a) Consentement — strictement sur la base d'un opt-in, révocable à tout moment : 10. Attribution marketing (Google Ads + GA4) — identifiants de clics, e-mail/téléphone hashés en SHA-256 pour les Conversions améliorées, client_id GA4, valeur de transaction. Conservé 13 mois sur GA4 (paramètre du projet). Traitement à haut risque — nous maintenons une AIPD dans _scratch/DPIA_marketing_attribution.md (en attente de révision par des conseillers). 11. Analytique produit (PostHog) — distinct_id pseudonyme, vues de pages, événements de fonctionnalités, pays (résolution de ville désactivée). Conservé 13 mois. L'ingestion se fait sur des serveurs UE (eu.i.posthog.com).

Art. 6(1)(f) Intérêts légitimes — équilibrés par rapport à vos droits : 12. Journaux de sécurité — IP source, user-agent, chemin de requête, code de réponse, résultat d'authentification. Conservé 14 jours (conservation des journaux Railway). 13. Chat de support client (Crisp) — e-mail, nom, contenu du chat. Conservé 2 ans à partir du dernier message ; supprimé sur demande du client. Crisp est hébergé en France (juridiction UE).