Confidentialité

Responsable et périmètre

Le responsable du traitement est Mickael ANGEL, fondateur de HexaProfile. Pour toute question relative à vos données ou pour exercer vos droits, écrivez à mickael@hexaos.org.

Cette politique couvre l’application HexaProfile, les espaces de travail, les Studios, les Portfolios hébergés, les CV, les vCards, les QR codes, les comptes, la publication et les fonctions commerciales activées.

Données traitées

Selon votre usage, le service peut traiter les catégories suivantes :

• données de compte et de sécurité : adresse électronique, secret de connexion haché, sessions, vérifications et événements de sécurité ;
• contenu professionnel : identité, contacts, expériences, formations, compétences, langues, certifications, projets, liens et médias que vous choisissez de fournir ;
• données de création : Portfolio, CV, vCard, design, brouillons, variantes linguistiques, candidatures, snapshots et historique ;
• données de publication : slug, sous-domaine, statut, révisions publiées et réglages de visibilité ;
• données techniques limitées nécessaires au fonctionnement, à la sécurité, au diagnostic et à la prévention des abus ;
• état de service, éventuels overrides administratifs et, si Premium est utilisé, identifiant d’abonnement PayPal, état et événements signés ; aucune donnée de carte n’est reçue par HexaProfile.

Les Portfolios publics peuvent produire des statistiques agrégées de consultation, de clics et d’interactions lorsque ces fonctions sont activées. Les écrans du compte indiquent les mesures disponibles ; aucune statistique fictive n’est présentée comme une donnée réelle.

Finalités et bases juridiques

Les traitements sont prévus pour créer et administrer un compte, sauvegarder et synchroniser les projets, fournir les outils de création, publier les contenus choisis, sécuriser le service, répondre aux demandes, gérer les abonnements activés et respecter les obligations légales.

Selon le traitement, la base juridique est l’exécution du service demandé, l’intérêt légitime à sécuriser et améliorer la plateforme, une obligation légale ou votre consentement lorsqu’il est requis.

Publication et sous-domaines

Un projet reste privé tant que vous ne le publiez pas. Lorsque vous publiez, la révision choisie et les informations qu’elle contient deviennent accessibles à l’adresse publique associée, notamment sur un sous-domaine de HexaProfile. Les moteurs de recherche et des tiers peuvent alors les consulter ou les référencer.

Une modification du brouillon ne remplace pas automatiquement la version publiée. Vous pouvez republier, revenir à une révision antérieure lorsqu’elle est disponible, ou dépublier. La dépublication ne garantit pas la suppression immédiate de copies déjà conservées par des tiers ou des moteurs de recherche.

Hébergement et destinataires

HexaProfile est conçu comme un service SaaS hébergé : les données de compte et de projet sont conservées côté serveur dans MariaDB, tandis que les médias sont stockés dans l’espace privé prévu à cet effet. Les accès sont limités aux personnes et prestataires nécessaires au fonctionnement, au support, à la sécurité et à la facturation activée.

PayPal est intégré comme fournisseur optionnel de l’abonnement Premium. Il reste désactivé par défaut et ne reçoit des données que lorsqu’un utilisateur choisit de souscrire après ouverture des ventes. Un prestataire d’e-mail transactionnel ne reçoit que les informations nécessaires à la vérification ou à la récupération du compte lorsqu’il est configuré.

Plan Free et publicité

Le plan Free peut afficher une publicité clairement identifiée sur le Portfolio public. Aucune publicité n’est prévue dans le Studio, le tableau de bord, les pages de compte, le CV Studio ou le vCard Studio. Premium retire cette publicité lorsque l’abonnement est actif.

Les campagnes internes structurées peuvent mesurer des impressions et des clics de manière agrégée. Aucun fournisseur publicitaire externe ni cookie publicitaire non essentiel n’est activé sans mise à jour préalable de cette information et, lorsque la loi l’exige, sans recueil du consentement.

Cookies et stockage local

Le fonctionnement du compte requiert des cookies strictement nécessaires, notamment __Host-hp_session pour la session sécurisée et __Host-hp_csrf pour protéger les actions sensibles. Leur durée maximale est de 30 jours et ils utilisent les attributs Secure, SameSite=Lax et Path=/ ; le cookie de session est également HttpOnly.

Des données locales peuvent servir à mémoriser la langue, au cache, au mode hors ligne, à la reprise d’un brouillon ou à l’import explicite d’un projet v21. Aucun cookie non essentiel n’est déposé sans information et consentement lorsque celui-ci est requis. Le détail figure dans la politique de cookies.

Conservation et suppression

Les données de projet sont conservées pendant la vie du compte et jusqu’à leur suppression par l’utilisateur. Une session applicative expire après 30 jours au maximum ; un lien de vérification d’adresse électronique expire après 24 heures ; un lien de réinitialisation de mot de passe expire après 1 heure.

Les journaux de sécurité, sauvegardes, événements de facturation et contenus supprimés peuvent être conservés plus longtemps lorsque cela est nécessaire à la sécurité, à la restauration ou à une obligation légale. La suppression d’un compte entraîne la suppression ou l’anonymisation des données selon ces contraintes.

Vos choix et la portabilité

Vous gardez la maîtrise de vos contenus. Les fonctions prévues permettent de corriger les informations, gérer les sessions, dépublier, supprimer le compte et demander l’export de vos données.

La portabilité couvre notamment les données structurées au format JSON et, selon les fonctions utilisées, le CV en PDF, la fiche VCF et les QR codes. Le Portfolio reste un service hébergé : la portabilité des données ne constitue pas une licence d’export du moteur HexaProfile ou d’un site exécutable autonome.

Vos droits RGPD

Lorsque le RGPD s’applique, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, l’opposition et la portabilité, ainsi que retirer un consentement sans affecter la licéité du traitement antérieur. Vous pouvez aussi introduire une réclamation auprès de l’autorité de contrôle compétente.

Les demandes peuvent être envoyées à mickael@hexaos.org. Une vérification proportionnée de votre identité peut être demandée afin de protéger votre compte. Vous pouvez aussi saisir la CNIL via cnil.fr.

Sécurité et évolution

Le service prévoit notamment le hachage des secrets, des cookies de session sécurisés, des contrôles d’autorisation par espace de travail, des protections CSRF, une limitation de débit, des journaux d’audit et une validation des fichiers importés. Aucun dispositif ne supprime toutefois tout risque.

Cette politique est mise à jour lorsque l’infrastructure, les prestataires ou les finalités évoluent. La date de mise à jour est affichée sur la page.