L'application web CATENA, accessible à l'adresse https://catena.so, est éditée par la société :

COVERFIELD

Entreprise Unipersonnelle à Responsabilité Limitée (EURL) au capital de 2 500 €

Représentée par Aymeric PROUX en qualité de Gérant

119 rue Gaston Baratte — 59493 Villeneuve d'Ascq — France

SIREN : 522 904 382 — RCS Lille Métropole

E-mail : hello@catena.so

La société COVERFIELD EURL agit en qualité de responsable de traitement au sens du Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des données personnelles (ci-après le « RGPD »).

La présente Politique de confidentialité (ci-après la « Politique ») a pour objet d'informer les utilisateurs de l'Application CATENA des catégories de données personnelles collectées, des finalités et bases légales de leur traitement, de leur durée de conservation, des destinataires concernés, ainsi que des droits dont ils disposent.

Les utilisateurs sont invités à lire attentivement la présente Politique avant toute utilisation de l'Application CATENA.

Article 1 — Définitions

Les termes utilisés dans la présente Politique sont définis dans les Conditions Générales d'Utilisation (CGU) de l'Application CATENA, accessibles à l'adresse https://catena.so/terms.

Aux fins de la présente Politique :

• Données personnelles : toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l'article 4 du RGPD.
• Traitement : toute opération appliquée à des données personnelles (collecte, enregistrement, conservation, utilisation, transmission, etc.).
• Responsable de traitement : la société COVERFIELD EURL, qui détermine les finalités et les moyens du traitement.
• Sous-traitant : tout prestataire technique auquel la société COVERFIELD EURL fait appel et qui traite des données pour son compte.

Article 2 — Personnes concernées par la collecte

La société COVERFIELD EURL collecte et traite les données personnelles des personnes suivantes :

1. Les UTILISATEURS INSCRITS : toute personne ayant créé un compte sur l'Application CATENA
2. Les VISITEURS : toute personne accédant à un ATELIER PUBLIC via une URL partagée, sans création de compte
3. Les membres d'un TEAMSPACE : tout UTILISATEUR INSCRIT invité à collaborer dans le TEAMSPACE d'un UTILISATEUR PRO

Article 3 — Catégories de données personnelles collectées

La société COVERFIELD EURL collecte et traite les catégories de données suivantes :

3.1 Données relatives au profil et à l'identité

• Adresse e-mail
• Nom et prénom (récupérés automatiquement depuis Auth0 si l'UTILISATEUR est déjà connu de ce service, ou renseignés lors de l'inscription)

3.2 Données relatives aux ATELIERS et contenus créés

• Titres, descriptions et contenus des ATELIERS (agendas, activités, minutages)
• Paramètres de partage des ATELIERS (statut public/privé, code PIN)
• Contenus soumis à CatenAI dans le cadre des prompts de génération
• Synthèses générées par CatenAI et associées aux ATELIERS de l'UTILISATEUR

3.3 Données relatives à la navigation et à l'utilisation

• Données de navigation anonymisées collectées via Plausible Analytics (voir article 7)
• Adresse IP des VISITEURS accédant à un ATELIER PUBLIC (transitant par les serveurs GCP, non stockée durablement à des fins d'identification)

3.4 Données relatives aux TEAMSPACES

• Nom du TEAMSPACE
• Liste des membres invités (adresses e-mail)
• Droits d'accès associés à chaque membre

3.5 Données relatives aux transactions commerciales

• Adresse e-mail associée au compte Stripe de l'UTILISATEUR PRO
• Historique des abonnements et paiements (géré par Stripe Payments Europe Ltd)

3.6 Données relatives aux communications

• Contenu des messages adressés à la société COVERFIELD EURL via l'adresse hello@catena.so

Article 4 — Finalités et bases légales des traitements

Article 5 — Durée de conservation des données

Les données personnelles des UTILISATEURS sont conservées pour la durée strictement nécessaire aux finalités pour lesquelles elles ont été collectées, dans le respect des recommandations de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

En l'absence de toute utilisation pendant une période de 3 ans, les données personnelles des UTILISATEURS inactifs sont supprimées, conformément aux recommandations de la CNIL.

Article 6 — Destinataires des données personnelles

Les données personnelles des UTILISATEURS sont accessibles aux personnes habilitées suivantes :

• L'équipe interne COVERFIELD EURL, pour les besoins de gestion et d'exploitation de l'Application CATENA
• Les PARTENAIRES techniques listés ci-après (sous-traitants au sens du RGPD)

La société COVERFIELD EURL ne vend pas, ne loue pas et ne cède pas les données personnelles des UTILISATEURS à des tiers à des fins commerciales.

Article 7 — Sous-traitants et partenaires techniques

La société COVERFIELD EURL a recours aux sous-traitants suivants dans le cadre de l'exploitation de l'Application CATENA. Chaque sous-traitant est lié par un contrat garantissant la protection des données personnelles conformément au RGPD.

7.1 Google Cloud EMEA Limited (GCP) — Hébergement

Rôle : Hébergement de l'application, du serveur backend et de la base de données

Adresse : Gordon House, Barrow Street, Dublin 4, Irlande

Région des serveurs : europe-west9 (Paris, France) — données hébergées en France, au sein de l'UE

Site : https://cloud.google.com

Transfert hors UE : Non

7.2 Okta, Inc. (Auth0) — Authentification

Rôle : Service d'authentification et de gestion des identités des UTILISATEURS

Adresse : 100 First Street, Suite 600, San Francisco, CA 94105, États-Unis

Bureaux européens : Tour Europlaza, 9ème étage — 20 avenue André Prothin, 92400 Courbevoie, France

Région du Tenant CATENA : EU-2 (Europe) — données d'authentification hébergées en Europe

Site : https://auth0.com

Transfert hors UE : Non (Tenant EU-2)

Garantie de conformité : Okta, Inc. est inscrit au Data Privacy Framework UE-USA

7.3 Stripe Payments Europe Ltd — Paiement

Rôle : Traitement des paiements et gestion des abonnements PRO

Adresse : 10 Boulevard Haussmann, 75009 Paris, France

Site : https://stripe.com

Transfert hors UE : Non (entité européenne)

Données concernées : Adresse e-mail, historique d'abonnement. Aucune donnée bancaire n'est stockée par COVERFIELD EURL.

7.4 OpenAI, L.L.C. — Intelligence artificielle (CatenAI)

Rôle : Fourniture de l'API de génération de contenus pour la fonctionnalité CatenAI

Adresse : 3180 18th Street, San Francisco, CA 94110, États-Unis

Site : https://openai.com

Données concernées : Contenus des prompts soumis par l'UTILISATEUR à CatenAI

Transfert hors UE : Oui — encadré par les Clauses Contractuelles Types (CCT) de la Commission européenne

Opt-out data training : Activé — OpenAI n'utilise pas les données transmises via l'API de CATENA pour entraîner ses modèles

Important : L'UTILISATEUR est invité à ne pas inclure de données personnelles sensibles de tiers dans ses prompts CatenAI. La société COVERFIELD EURL ne saurait être tenue responsable des données personnelles que l'UTILISATEUR choisirait d'y intégrer.

7.5 Plausible Insights OÜ — Mesure d'audience

Rôle : Mesure d'audience anonymisée de l'Application CATENA

Adresse : Västriku tn 2, 50403 Tartu, Estonie (UE)

Numéro d'enregistrement : 14709274

Site : https://plausible.io

Transfert hors UE : Non (société estonienne, serveurs en UE)

Nature des données : Plausible Analytics ne collecte aucune donnée personnelle identifiable, n'utilise pas de cookies et ne génère pas d'empreinte numérique (fingerprinting). Les données collectées sont entièrement anonymisées et agrégées. Ce traitement est exempt de l'obligation de consentement préalable conformément aux recommandations de la CNIL.

7.6 SparkPost (Bird B.V.) — E-mails transactionnels

Rôle : Envoi des e-mails transactionnels de l'Application CATENA

Adresse : Bird B.V., Keizersgracht 313, 1016 EE Amsterdam, Pays-Bas (UE)

Infrastructure : EU (serveurs européens)

Site : https://bird.com

Données concernées : Adresses e-mail des UTILISATEURS INSCRITS (pour les notifications d'abonnement) et adresses e-mail de tiers renseignées par les UTILISATEURS PRO dans le cadre des invitations TEAMSPACE

Transfert hors UE : Possible — SparkPost héberge ses services sur AWS, dont les serveurs peuvent être situés hors UE. Ce transfert est encadré par les Clauses Contractuelles Types (CCT) EU 2021/914 (Modules 2 et 3), automatiquement incorporées au DPA SparkPost signé par COVERFIELD EURL. Autorité de contrôle compétente pour le transfert : Dutch Data Protection Authority (Autoriteit Persoonsgegevens).

Types d'e-mails envoyés :

• Invitation dans un TEAMSPACE : adressée à un tiers dont l'adresse e-mail est fournie par l'UTILISATEUR PRO
• Notification de fin d'abonnement PRO : adressée à l'UTILISATEUR PRO concerné

Note importante : Les adresses e-mail de tiers invités dans un TEAMSPACE sont transmises à SparkPost dans le seul but d'envoyer l'e-mail d'invitation. Elles ne sont pas réutilisées à d'autres fins.

Article 8 — Transferts de données hors de l'Union Européenne

La majorité des données personnelles des UTILISATEURS est hébergée et traitée au sein de l'Union Européenne (GCP europe-west9, Auth0 EU-2, Plausible OÜ).

Un transfert de données hors de l'UE est réalisé dans le cadre de l'utilisation de la fonctionnalité CatenAI, les prompts étant transmis à OpenAI, L.L.C. (États-Unis). Ce transfert est encadré par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne, qui offrent un niveau de protection adéquat aux données transférées.

La société COVERFIELD EURL s'assure que l'ensemble de ses sous-traitants établis hors de l'UE présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées pour la protection des données.

Article 9 — Mesures de sécurité

La société COVERFIELD EURL met en œuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité, la confidentialité et l'intégrité des données personnelles des UTILISATEURS, notamment :

• Hébergement des données sur des serveurs sécurisés en France (GCP europe-west9)
• Authentification des UTILISATEURS via un service tiers spécialisé (Auth0/Okta), avec gestion des tokens de session
• Chiffrement des communications (HTTPS/TLS)
• Accès aux données restreint aux seuls membres habilités de COVERFIELD EURL
• Opt-out data training activé auprès d'OpenAI

La société COVERFIELD EURL attire l'attention des UTILISATEURS sur le fait qu'aucun système de transmission ou de stockage de données n'est infaillible. En cas d'atteinte aux données personnelles susceptible d'engendrer un risque élevé pour les droits et libertés des UTILISATEURS, la société COVERFIELD EURL s'engage à en informer les personnes concernées et l'autorité de contrôle compétente (CNIL) dans les délais prévus par le RGPD.

Article 10 — Droits des UTILISATEURS

Conformément au RGPD et à la loi Informatique et Libertés, tout UTILISATEUR dispose des droits suivants sur ses données personnelles :

Droit d'information

La société COVERFIELD EURL s'engage à communiquer aux UTILISATEURS une information claire, accessible et transparente sur les conditions de collecte et de traitement de leurs données, via la présente Politique.

Droit d'accès

L'UTILISATEUR peut, à tout moment, obtenir la confirmation que des données le concernant sont traitées et en recevoir une copie.

Droit de rectification

L'UTILISATEUR peut demander la correction de données inexactes ou incomplètes le concernant.

Droit à l'effacement (« droit à l'oubli »)

L'UTILISATEUR peut demander la suppression de ses données personnelles, sous réserve des obligations légales de conservation incombant à COVERFIELD EURL.

Droit d'opposition

L'UTILISATEUR peut s'opposer, pour des motifs légitimes, au traitement de ses données personnelles, notamment à des fins de prospection commerciale.

Droit à la limitation du traitement

L'UTILISATEUR peut demander la limitation du traitement de ses données dans les cas prévus par le RGPD.

Droit à la portabilité

L'UTILISATEUR peut demander à recevoir ses données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement.

Droit de décider du sort des données après le décès

L'UTILISATEUR peut formuler des directives relatives à la conservation, à l'effacement et à la communication de ses données personnelles après son décès.

Exercice des droits

Pour exercer l'un de ces droits, l'UTILISATEUR peut adresser sa demande à la société COVERFIELD EURL par e-mail à l'adresse : hello@catena.so

La société COVERFIELD EURL répondra dans un délai maximum d'un (1) mois à compter de la réception de la demande, ce délai pouvant être prolongé de deux (2) mois supplémentaires en cas de complexité ou de nombre important de demandes, l'UTILISATEUR en étant informé.

Avant de traiter la demande, la société COVERFIELD EURL pourra demander à l'UTILISATEUR de justifier de son identité.

Pour toute information complémentaire sur l'exercice de ses droits, l'UTILISATEUR peut consulter le site de la CNIL : www.cnil.fr

Droit de réclamation auprès de l'autorité de contrôle

Si l'UTILISATEUR estime que le traitement de ses données personnelles par COVERFIELD EURL n'est pas conforme au RGPD, il dispose du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• Site web : https://www.cnil.fr
• Adresse : 3 Place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07

Article 11 — Cookies et traceurs

L'Application CATENA n'utilise aucun cookie publicitaire, aucun cookie de mesure d'audience avec suivi individuel, et aucun bouton de partage de réseaux sociaux susceptibles de déposer des cookies tiers.

Les seuls traceurs utilisés par l'Application CATENA sont :

1. Tokens de session Auth0 : identifiants de session strictement nécessaires au fonctionnement de l'authentification et à la connexion de l'UTILISATEUR. Ces tokens sont exemptés de l'obligation de consentement préalable car ils sont indispensables au service expressément demandé par l'UTILISATEUR.
2. Plausible Analytics : outil de mesure d'audience sans cookie, sans collecte de données personnelles et sans empreinte numérique. Ce traceur est exempt de l'obligation de recueil du consentement conformément aux recommandations de la CNIL.

En conséquence, aucune bannière de consentement aux cookies n'est requise sur l'Application CATENA dans sa configuration actuelle.

Les informations complètes relatives aux traceurs utilisés sont détaillées dans la Politique cookies de l'Application CATENA, accessible à l'adresse https://catena.so/cookies.

Article 12 — Modifications de la Politique

La société COVERFIELD EURL se réserve le droit de modifier la présente Politique à tout moment, notamment pour se conformer aux évolutions législatives et réglementaires ou aux évolutions techniques de l'Application CATENA.

En cas de modification substantielle, les UTILISATEURS en seront informés par e-mail ou via l'Application CATENA, préalablement à l'entrée en vigueur des nouvelles dispositions. La date de « Dernière mise à jour » figurant en en-tête de la présente Politique sera actualisée à chaque modification.

Toute nouvelle version de la Politique devra faire l'objet d'une acceptation par l'UTILISATEUR.

Article 13 — Droit applicable

La présente Politique est régie par le droit français et le droit de l'Union Européenne, notamment le Règlement (UE) 2016/679 (RGPD) et la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.

🇬🇧 English Version

This English version is provided for informational purposes only. In the event of any conflict or discrepancy between the French and English versions, the French version shall prevail.

The CATENA web application, accessible at https://catena.so, is published by COVERFIELD EURL, a single-member limited liability company, represented by Aymeric PROUX, 119 rue Gaston Baratte, 59493 Villeneuve d'Ascq, France — hello@catena.so.

COVERFIELD EURL acts as data controller within the meaning of Regulation (EU) 2016/679 (GDPR).

Article 1 — Definitions

Capitalized terms used herein are defined in the CATENA Terms of Service (ToS). For the purposes of this Policy, "Personal Data", "Processing", "Controller", and "Processor" have the meanings given to them in Article 4 of the GDPR.

Article 2 — Data subjects

COVERFIELD EURL collects and processes personal data from: (1) Registered Users who have created a CATENA account; (2) Visitors accessing a Public Workshop via a shared URL; (3) Teamspace members invited to collaborate by a PRO User.

Article 3 — Categories of personal data collected

Profile and identity data: email address, first and last name (retrieved via Auth0 if already known, or entered during registration).

Workshop and content data: titles, descriptions, and content of Workshops (agendas, activities, timings); sharing settings (public/private status, PIN code); prompts submitted to CatenAI; AI-generated summaries.

Navigation data: anonymized analytics data collected via Plausible Analytics (see Article 7); IP addresses of Visitors accessing Public Workshops (transiting through GCP servers, not stored for identification purposes).

Teamspace data: Teamspace name, list of invited members (email addresses), access rights.

Transaction data: email address associated with the Stripe account; subscription and payment history (managed by Stripe Payments Europe Ltd).

Communication data: content of messages sent to hello@catena.so.

Article 4 — Purposes and legal bases for processing

Article 5 — Data retention

Inactive accounts with no activity for 3 years are deleted in accordance with CNIL recommendations.

Article 6 — Recipients of personal data

Personal data is accessible to authorized members of the COVERFIELD EURL team and to the technical sub-processors listed in Article 7. COVERFIELD EURL does not sell, rent, or transfer personal data to third parties for commercial purposes.

Article 7 — Sub-processors and technical partners

7.1 Google Cloud EMEA Limited (GCP) — Hosting

Application, backend, and database hosting. Region: europe-west9 (Paris, France). No transfer outside the EU.

7.2 Okta, Inc. (Auth0) — Authentication

User identity and authentication management. Tenant region: EU-2 (Europe). Okta is registered under the EU-US Data Privacy Framework. No transfer outside the EU (EU-2 tenant).

7.3 Stripe Payments Europe Ltd — Payment processing

Subscription and payment management. European entity (Paris, France). No transfer outside the EU. No banking data stored by COVERFIELD EURL.

7.4 OpenAI, L.L.C. — Artificial intelligence (CatenAI)

API for CatenAI content generation. US entity. Transfer to the US governed by Standard Contractual Clauses (SCCs). Data training opt-out is activated — OpenAI does not use CATENA API data to train its models. Users are advised not to include sensitive personal data of third parties in their CatenAI prompts.

7.5 Plausible Insights OÜ — Analytics

Anonymized, cookieless audience measurement. Estonian entity (EU). No personal data collected. No cookies. No fingerprinting. Exempt from prior consent requirement under CNIL guidelines. No transfer outside the EU.

Article 8 — International data transfers

The majority of personal data is hosted and processed within the EU (GCP europe-west9, Auth0 EU-2, Plausible OÜ). One transfer outside the EU occurs in connection with CatenAI: prompts are transmitted to OpenAI, L.L.C. (USA), governed by Standard Contractual Clauses (SCCs) adopted by the European Commission.

Article 9 — Security measures

COVERFIELD EURL implements appropriate technical and organizational security measures, including: secure hosting in France (GCP europe-west9), Auth0/Okta session token management, HTTPS/TLS encryption, restricted access to data, and OpenAI data training opt-out. In the event of a personal data breach likely to result in a high risk to Users' rights and freedoms, COVERFIELD EURL will notify the affected individuals and the CNIL within the timeframes prescribed by the GDPR.

Article 10 — User rights

In accordance with the GDPR, Users have the following rights: right of access, right to rectification, right to erasure (right to be forgotten), right to object, right to restriction of processing, right to data portability, and right to give instructions regarding post-mortem data handling.

To exercise any of these rights, Users may send a request to: hello@catena.so. COVERFIELD EURL will respond within one (1) month, extendable by two (2) months for complex cases.

For further information on exercising data rights, Users may consult the CNIL website: www.cnil.fr

Right to lodge a complaint: Users may lodge a complaint with the CNIL (France) or any other competent supervisory authority in their EU member state of residence.

Article 11 — Cookies and trackers

The CATENA Application uses no advertising cookies, no individually-tracked analytics cookies, and no social media sharing buttons. The only trackers in use are:

1. Auth0 session tokens — strictly necessary for authentication; exempt from prior consent requirement.
2. Plausible Analytics — cookieless, no personal data, no fingerprinting; exempt from prior consent requirement under CNIL guidelines.

No cookie consent banner is required in the CATENA Application's current configuration. Full details are available in the Cookie Policy.

Article 12 — Policy updates

COVERFIELD EURL reserves the right to update this Policy at any time. Users will be notified of material changes by email or via the Application prior to the changes taking effect. The "Last updated" date will be revised accordingly.

Article 13 — Governing law

This Policy is governed by French law and EU law, in particular the GDPR and the French Data Protection Act (Loi Informatique et Libertés).