Politique de confidentialité — Huuggin
Version 2026-beta-1. Date d’effet : 8 octobre 2026.
1. Qui traite les données ?
OPTIMASS, SASU au capital de 3 000 €, siège : 1 AV DIVISION GAL LECLERC, 78200 MANTES-LA JOLIE, SIREN 908047475, représentée par son président Zakaria Aljami, contact : contact@optimass.fr, téléphone : 01 84 80 61 00, est responsable des traitements nécessaires à la gestion de ses utilisateurs, à la facturation, à la sécurité et à ses relations commerciales. OPTIMASS est en franchise en base de TVA.
Pour les données que l’entreprise cliente confie au service pour ses propres activités, celle-ci détermine les finalités et Huuggin intervient selon ses instructions. L’accord de traitement des données précise cette relation. Contact pour les demandes de confidentialité : contact@optimass.fr.
2. Données et finalités
- Compte et accès : adresse email, entreprise, rôle, données d’authentification et invitations ; création du compte, confirmation email, gestion des collaborateurs et accès autorisés.
- Service : conversations, instructions, fichiers, versions, extraits indexés, livrables et traces d’exécution ; réalisation des demandes, recherche de documents et suivi du travail.
- Connexions : autorisations et données strictement nécessaires des outils connectés ; exécution des demandes autorisées. Les secrets ne doivent pas être saisis dans les conversations.
- Abonnements : formule, transactions et éléments de facturation ; souscription, allocation des volumes, émission des factures et obligations applicables. Les cartes sont traitées par Stripe ; Huuggin ne recueille pas leur numéro complet dans le formulaire d’inscription.
- Sécurité et support : journaux nécessaires, demandes et réponses ; protection du service, résolution des incidents et traçabilité des interventions.
- Relations commerciales : données fournies pour une démonstration ou une invitation ; qualification du besoin et organisation du rendez-vous. Le formulaire Cal.com recueille les informations visibles avant sa confirmation. Le conseiller public recommande d’éviter les données confidentielles.
| Traitement | Base | Caractère |
|---|---|---|
| Compte, essai, service et GED | Exécution du contrat / mesures précontractuelles | Champs indispensables au compte et au service |
| Facturation et conservation comptable | Obligation légale | Indispensable à la facture |
| Sécurité, journaux, prévention des abus | Intérêt légitime (continuité et protection du service) | Nécessaire au fonctionnement |
| Démonstration, invitation commerciale | Intérêt légitime de relation professionnelle, ou consentement si requis | Facultatif ; opposition possible |
| Cookies de session | Intérêt légitime / nécessité du service | Indispensables à l’authentification |
| Outils connectés (Gmail, CRM, etc.) | Instruction du client (DPA) et, le cas échéant, consentement du titulaire du compte | Facultatif ; révocable en retirant la connexion |
3. Agents et documents privés
Les documents communs sont accessibles aux personnes et agents autorisés de l’entreprise. Les documents privés sont accessibles à leur propriétaire et aux agents agissant pour lui selon les droits accordés. Un administrateur d’entreprise n’obtient pas automatiquement l’accès aux documents privés d’un collaborateur.
Les agents peuvent traiter les passages nécessaires d’un fichier autorisé. L’indexation et les extraits restent soumis aux mêmes droits. Les dossiers juridiques confidentiels de Jade restent distincts de la GED sauf export demandé.
4. Destinataires, prestataires et transferts
Les personnes habilitées d’OPTIMASS et les prestataires nécessaires au service peuvent recevoir les données utiles à leurs fonctions. Les accès du support doivent être justifiés et encadrés.
| Prestataire | Fonction | Région principale | Transfert |
|---|---|---|---|
| Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, États-Unis | Hébergement de l’application | Infrastructure mondiale ; routes serveur | États-Unis — DPA et clauses contractuelles types du fournisseur |
| Supabase Pte. Ltd., 65 Chulia Street #38-02/03, Singapour 049513 | Base, authentification, Storage | AWS eu-west-1 (Irlande) | Entité à Singapour ; DPA Supabase |
| Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Chypre | VPS worker | Serveur Allemagne ; sauvegardes VPS Lituanie | EEE |
| Hangzhou DeepSeek Artificial Intelligence Co., Ltd. | Modèle d’IA par défaut | Chine | Hors EEE, sans décision d’adéquation ; uniquement les contenus envoyés au modèle. Un fournisseur choisi par le client suit ses propres conditions |
| Resend, 2261 Market Street #5039, San Francisco, CA 94114, États-Unis | Emails transactionnels | États-Unis | DPA / SCC du fournisseur |
| Stripe Payments Europe, Ltd., One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irlande | Paiements | Irlande, avec sous-traitants aux États-Unis | DPA Stripe |
| Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, États-Unis | Prise de rendez-vous démo | États-Unis | Données du formulaire de rendez-vous ; DPF / SCC du fournisseur |
| Sampark, Inc. dba Composio, 2 Bryant St., Suite 220, San Francisco, CA 94105, États-Unis | Connexions aux outils du client | États-Unis | Uniquement si le client active une connexion ; DPA Composio |
Huuggin n’utilise pas les contenus du client pour entraîner un modèle général. DeepSeek et tout fournisseur IA choisi par le client appliquent leurs propres conditions sur la réutilisation ; Huuggin n’active pas d’option d’entraînement pour son compte. Aucune garantie d’hébergement exclusivement français n’est donnée.
5. Durées et fin de compte
| Catégorie | Durée |
|---|---|
| Compte, coordonnées et droits | Durée du contrat, puis 3 ans après clôture pour la preuve des relations commerciales, hors obligation plus longue |
| Conversations, documents et livrables | Durée du service. Export possible depuis Documents. Après suppression de compte : effacement sous 30 jours, hors copies de sauvegarde jusqu’à la fin de leur cycle |
| Fichiers en corbeille GED | Restauration pendant 30 jours, puis purge |
| Journaux de sécurité, support et exécution | 12 mois, sauf incident nécessitant une conservation plus longue |
| Factures et preuves de contrat | 10 ans (obligations comptables) |
| Invitations et opposition commerciale | 12 mois après l’invitation ou jusqu’à l’opposition ; l’opposition est conservée le temps nécessaire pour la respecter |
| Sauvegardes base Supabase | Quotidiennes à 23 h, Europe/Paris. Restauration possible à partir du dernier point quotidien |
| Sauvegardes fichiers GED | Copie chiffrée quotidienne à 23 h Europe/Paris vers le VPS (Allemagne), fenêtre 30 jours, restauration de contrôle à chaque copie |
| Sauvegardes VPS Hostinger | Hebdomadaires, Lituanie, rotation automatique des plus anciennes |
L’expiration de l’essai ou la suspension ne supprime pas automatiquement les fichiers. Consultation et téléchargement sont maintenus selon ces durées.
Une sauvegarde restaurée réapplique les droits courants et les demandes d’effacement avant remise en service. La sauvegarde de base Supabase ne contient pas les fichiers du Storage ; la copie GED distincte couvre les versions confirmées. La restauration complète du service combine base, fichiers et VPS ; elle n’est jamais automatique en production.
6. Sécurité et droits
Mesures en place : isolation par entreprise et utilisateur (RLS), authentification par session, secrets hors conversations, liens de téléchargement GED temporaires, journal des interventions, sauvegardes quotidiennes de la base et des fichiers avec restauration possible toutes les 24 h, copie GED chiffrée testée, habilitations limitées du support. Aucune mesure ne permet de promettre une absence d’incident.
Les personnes peuvent demander l’accès, la rectification, l’effacement, la limitation, la portabilité ou l’opposition lorsque les conditions de ces droits sont réunies, et retirer un consentement pour l’avenir. Pour les données d’activité confiées par une entreprise, adresser la demande à cette entreprise ; Huuggin l’assiste selon le DPA.
Les demandes adressées à contact@optimass.fr sont examinées après une vérification proportionnée de l’identité, dans un délai d’un mois. Une réclamation peut être adressée à la CNIL : https://www.cnil.fr/fr/plaintes.
7. Cookies et évolution
Cookies strictement nécessaires, HttpOnly, déposés par Huuggin :
| Cookie | Rôle | Durée |
|---|---|---|
os_access_token | Session de l’espace client | Session / courte durée |
os_refresh_token | Renouvellement de session | Jusqu’à 30 jours si « se souvenir de moi » |
os_remember | Préférence de session persistante | Alignée sur le refresh |
huuggin_admin_* | Session de l’administration interne | Uniquement sur l’espace administration |
Aucun cookie publicitaire n’est déposé par Huuggin. La page de prise de rendez-vous charge Cal.com, qui peut déposer ses propres cookies selon sa politique (https://cal.com/privacy). Pas de bandeau de consentement pour les seuls cookies nécessaires.
Les modifications substantielles sont annoncées par email au propriétaire au moins 15 jours avant leur date d’effet. La version publiée reste accessible dans le centre juridique.