1. Données traitées et finalités

Les données sont utilisées pour fournir les fonctions demandées par les membres de l’espace de travail, sécuriser les sessions et conserver l’historique métier. Les champs sont saisis par les utilisateurs ou générés à partir de leur demande.

2. IA et Ollama local

Dans l’installation actuelle, la génération de contenu et l’assistance commerciale utilisent Ollama local avec Gemma 3 12B, selon la configuration communiquée par l’opérateur. Aucun fournisseur LLM cloud n’est actuellement activé. Les insights Analytics, lorsqu’ils sont utilisés, sont traités par le code vers un endpoint local ou de réseau privé et cette fonction exige Gemma 3 12B. Le code permet de configurer un fournisseur compatible différent pour la génération et l’assistance commerciale; cette possibilité logicielle ne signifie pas qu’un fournisseur externe est utilisé aujourd’hui.

• La génération transmet à Ollama la demande, les champs de profil sélectionnés, les faits de projet et les prompts système, métier et de sécurité qui configurent la génération. Les données d’entrée, variantes et résumés sont aussi conservés dans PostgreSQL local.
• L’assistant commercial transmet localement à Ollama le nom, le rôle, la société, les notes, les preuves, les résumés d’interactions, le contexte ajouté par l’utilisateur et les prompts système/configuration associés. L’instantané d’entrée et le résultat sont conservés comme exécution CRM.
• Lorsque les insights Analytics sont utilisés, le code transmet à l’endpoint local ou privé des statistiques agrégées et des titres de publications; l’instantané et le résultat sont enregistrés localement. Cette fonction exige Gemma 3 12B dans le code actuel.

Les requêtes de l’installation actuelle, y compris les prompts système et métier qui les accompagnent, sont destinées à l’instance Ollama locale et ne sont pas envoyées à un fournisseur LLM cloud. La configuration peut évoluer; tout changement de fournisseur ou de routage devra être reflété ici avant son activation. La clé éventuelle est configurée côté serveur et n’est pas envoyée au navigateur.

3. LinkedIn et autres destinataires

La connexion LinkedIn est initiée seulement après une action de l’utilisateur et passe par le domaine LinkedIn. Sans configuration et consentement, aucune connexion n’est simulée. Si la fonction est activée, les jetons chiffrés sont utilisés pour les appels autorisés; une publication exige une permission réellement reçue, une validation du texte exact et une confirmation explicite séparée.

Une publication n’est envoyée à LinkedIn qu’après cette confirmation. LinkedIn traite alors la demande selon ses propres conditions. L’application ne transmet pas les données à LinkedIn pour du scraping ou des messages privés.

Actuellement, l’application, son API et PostgreSQL tournent localement sous Windows avec Docker Compose; PostgreSQL utilise un volume Docker local. Aucun fournisseur cloud ni région cloud n’est défini pour l’application ou la base. Cloudflare Pages est prévu uniquement pour cette politique statique et ne donne pas accès au backend ni à PostgreSQL. Cloudflare peut traiter les données techniques des requêtes adressées à cette page selon sa configuration.

4. Conservation et suppression

Aucune durée générale de conservation n’est définie. Les données applicatives restent actuellement dans le PostgreSQL local jusqu’à leur modification ou suppression. La suppression automatique générale n’est pas implémentée et l’application ne propose pas de suppression en libre-service du compte, du workspace ou de toutes les données associées.

• La durée d’une session est de 12 heures par défaut et peut être configurée. À la déconnexion, la session est révoquée et le cookie est effacé; la ligne de session n’est pas nécessairement supprimée de la base.
• Les demandes OAuth sont utilisables pendant 10 minutes et une seule fois. Ce délai ne constitue pas un délai de suppression de leur trace en base; aucun nettoyage automatique de ces lignes n’est défini dans le code.
• La déconnexion LinkedIn efface localement les jetons chiffrés et identifiants techniques associés, mais conserve l’état et l’historique des publications. Elle ne prétend pas révoquer le consentement auprès de LinkedIn; le membre peut aussi gérer l’accès dans son compte LinkedIn.
• Aucune politique de sauvegarde automatique n’est confirmée; fréquence, durée et lieu de stockage des sauvegardes ne sont pas définis. Des journaux techniques et d’audit existent, mais leur durée de conservation et leur purge ne sont pas définies.

L’adresse ci-dessous peut être utilisée pour adresser une demande à l’opérateur, mais la procédure de réception, de vérification et de traitement des demandes de copie, correction ou suppression reste à formaliser et à tester. L’application ne fournit pas de parcours intégré, de délai de réponse ni de garantie de suppression, notamment pour les sauvegardes et journaux.

5. Sécurité

• Les mots de passe de compte sont hachés avec Argon2id; ils ne sont pas conservés en clair.
• Le cookie de session est configuré HttpOnly et SameSite=Lax. Le mode production exige l’option Secure; sa bonne configuration relève de l’opérateur.
• Les routes privées vérifient la session et l’appartenance au workspace; les opérations qui modifient des données exigent également le jeton CSRF.
• Les jetons LinkedIn sont chiffrés en AES-GCM avec une clé dédiée côté serveur. Une déconnexion locale supprime les valeurs de jeton enregistrées.
• Le code ne chiffre pas lui-même toutes les colonnes PostgreSQL au repos. La protection du volume Docker, du système Windows local, des éventuelles sauvegardes et des journaux dépend de la configuration de l’opérateur.

Aucun système ne peut garantir une sécurité absolue. L’opérateur doit maintenir les dépendances, secrets, accès serveur, transport HTTPS et sauvegardes de son installation.

6. Vos choix et droits

Vous pouvez fournir uniquement les informations nécessaires à votre usage, modifier le nom du compte, le profil professionnel et certains champs métier disponibles (contenus, tâches, étapes d’opportunités ou paiements), arrêter les générations et vous déconnecter. L’application ne propose pas actuellement de modification générale des fiches prospects ou sociétés ni de suppression complète du compte. La connexion LinkedIn et les fonctions IA dépendent de la configuration du service; le mode manuel reste distinct.

Selon les règles applicables à votre situation, vous pouvez demander l’accès à vos données, leur rectification, leur suppression, la limitation ou l’opposition à certains traitements, ou leur portabilité. Le pays du responsable est indiqué comme étant le Maroc; cette information ne détermine pas à elle seule les règles applicables ni la base juridique du traitement, qui restent à établir par l’opérateur. Pour exercer une demande ou poser une question, contactez le responsable indiqué ci-dessous.

1. Data processed and purposes

Data is used to provide the features requested by workspace members, secure sessions, and preserve business history. Fields are entered by users or generated from their requests.

2. AI and local Ollama

In the current installation, content generation and sales assistance use local Ollama with Gemma 3 12B, according to the operator’s configuration information. No cloud LLM provider is currently active. When Analytics insights are used, the code routes them to a local or private-network endpoint and requires Gemma 3 12B. The code allows a different compatible provider to be configured for content generation and sales assistance; this software capability does not mean an external provider is currently used.

• Content generation sends the request, selected profile fields, project facts, and the system, business, and safety prompts that configure generation to Ollama. Input data, variants, and summaries are also stored in local PostgreSQL.
• The sales assistant sends a prospect’s name, role, company, notes, evidence, interaction summaries, user-added context, and its system/configuration prompts to local Ollama. The input snapshot and result are stored as a CRM run.
• When Analytics insights are used, the code sends aggregated statistics and publication titles to the local or private endpoint; the snapshot and result are stored locally. The current code requires Gemma 3 12B for this feature.

Requests in the current installation, including their accompanying system and business prompts, are directed to local Ollama and are not sent to a cloud LLM provider. The configuration may change; any provider or routing change must be reflected here before activation. Any provider key is configured server-side and is not sent to the browser.

3. LinkedIn and other recipients

LinkedIn connection starts only after a user action and uses LinkedIn’s domain. Without configuration and consent, no connection is simulated. If enabled, encrypted tokens are used for authorized API calls; publishing requires a permission actually received, approval of the exact text, and separate explicit confirmation.

A post is sent to LinkedIn only after that confirmation. LinkedIn then processes the request under its own terms. The application does not send data to LinkedIn for scraping or private messaging.

The application, API, and PostgreSQL currently run locally on Windows with Docker Compose; PostgreSQL uses a local Docker volume. No cloud provider or cloud region is defined for the application or database. Cloudflare Pages is intended only for this static policy and has no access to the backend or PostgreSQL. Cloudflare may process technical request data for this page according to its configuration.

4. Retention and deletion

No general retention period is defined. Application data currently remains in local PostgreSQL until modified or deleted. General automatic deletion is not implemented, and the application does not offer self-service deletion of an account, workspace, or all associated data.

• A session lasts 12 hours by default and can be configured. On logout, the session is revoked and the cookie is cleared; the session row is not necessarily deleted from the database.
• OAuth requests are usable for 10 minutes and once only. This expiry is not a database deletion period; the code does not define an automatic cleanup of these rows.
• Disconnecting LinkedIn locally clears encrypted tokens and associated technical identifiers, but retains the connection state and publication history. It does not claim to revoke consent at LinkedIn; a member can also manage access in their LinkedIn account.
• No automatic backup policy is confirmed; backup frequency, retention, and storage location are undefined. Technical and audit logs exist, but their retention period and cleanup policy are undefined.

The contact below can be used to send a request to the operator, but the process to receive, verify, and handle access, correction, or deletion requests remains to be formalized and tested. The application provides no integrated workflow, response deadline, or deletion guarantee, including for backups and logs.

5. Security

• Account passwords are hashed with Argon2id; they are not stored in plaintext.
• The session cookie is configured as HttpOnly and SameSite=Lax. Production mode requires the Secure option; correct deployment configuration is the operator’s responsibility.
• Private routes check the session and workspace membership; operations that change data also require the CSRF token.
• LinkedIn tokens are encrypted with AES-GCM using a dedicated server-side key. Local disconnect removes the stored token values.
• The code does not itself encrypt all PostgreSQL columns at rest. Protection of the Docker volume, local Windows system, any backups, and logs depends on the operator’s configuration.

No system can guarantee absolute security. The operator must maintain dependencies, secrets, server access, HTTPS transport, and deployment backups.

6. Your choices and rights

You can provide only the information needed for your use, change the account name, professional profile, and selected available business fields (content, tasks, opportunity stages, or payments), stop generations, and sign out. The application does not currently provide general editing of prospect or company records or complete account deletion. LinkedIn connection and AI features depend on service configuration; manual mode is separate.

Depending on the rules that apply to your situation, you may request access to your data, correction, deletion, restriction or objection to certain processing, or portability. Morocco is identified as the controller’s country; that information alone does not determine the applicable rules or legal basis for processing, which the operator still needs to establish. Contact the controller below to make a request or ask a question.