Politique de Confidentialité
La présente politique explique comment Atelibox traite les données personnelles, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés. Atelibox est un service de devis et de factures pour artisans, exploité à titre personnel, en phase de test, sans but lucratif, gratuit et accessible uniquement sur invitation.
1. Qui est responsable de vos données ?
Responsable de traitement : Lucas Bernardeau.
Contact : [email protected].
Aucun délégué à la protection des données (DPO) n'a été désigné. Toute question relative aux données personnelles peut être adressée à l'adresse ci-dessus.
2. Notre double rôle
Atelibox intervient selon deux rôles distincts :
- Responsable de traitement pour les données de ses utilisateurs (artisans et collaborateurs) : comptes, demandes d'accès, formulaire de contact, sécurité et journal d'audit.
- Sous-traitant (article 28 du RGPD) pour les données de leurs clients et fournisseurs que les artisans saisissent dans le service : fiches clients, devis, factures, signatures de devis par les clients finaux, photos de chantier, rapports. Pour ces données, l'artisan est le responsable de traitement ; Atelibox ne les traite que sur ses instructions, pour fournir le service. Un accord de sous-traitance est applicable ; il est disponible sur demande à [email protected].
Si vous êtes le client d'un artisan et que vous souhaitez savoir comment vos données sont traitées, adressez-vous d'abord à cet artisan.
3. Données traitées
- Compte utilisateur : nom, prénom, adresse e-mail, mot de passe (stocké uniquement sous forme hachée PBKDF2), rôle, entreprise, téléphone, adresse, SIRET, mentions légales de facturation, logo.
- Données métier saisies par l'artisan (Atelibox agit en sous-traitant) : fiches clients et fournisseurs, devis, factures, avoirs, photos de chantier, rapports.
- Signature d'un devis par le client final : nom, image de la signature, date, adresse IP et empreinte SHA-256 du devis signé.
- Signature d'un rapport d'intervention par le client final : image de la signature, date.
- Demandes d'accès : prénom, nom, adresse e-mail, entreprise, métier, taille d'équipe, message, code de parrainage éventuel, décision prise (et motif éventuel). Pour limiter les abus (3 demandes par adresse IP et par jour), nous conservons une empreinte irréversible (hachage) de votre adresse IP, jamais l'adresse elle-même, ainsi que le type de navigateur (user-agent).
- Journal d'audit des actions sensibles : identifiant de l'auteur, action réalisée, adresse IP, date.
- Formulaire de contact : nom, adresse e-mail, message ; ils nous sont transmis par e-mail.
- Données techniques de sécurité : adresse IP utilisée pour limiter les tentatives de connexion ; elle est conservée en mémoire uniquement, et n'est pas enregistrée en base de données.
- Fichiers (logos, signatures, photos) : stockés dans un espace de stockage privé, accessibles uniquement par des liens signés temporaires (valables 1 heure).
Atelibox ne demande aucune donnée sensible au sens de l'article 9 du RGPD. Le service est réservé aux professionnels et n'est pas destiné aux mineurs.
4. Finalités et bases légales
Faites glisser le tableau pour lire toutes les colonnes.
| Finalité | Base légale |
|---|---|
| Gestion du compte et fourniture du service | Exécution du contrat (conditions générales d'utilisation) |
| Sécurité, prévention de la fraude, journal d'audit, limitation des tentatives de connexion | Intérêt légitime (protéger le service et ses utilisateurs) |
| Traitement des demandes d'accès et du formulaire de contact | Mesures précontractuelles prises à votre demande / intérêt légitime (répondre aux sollicitations) |
| Conservation des factures et avoirs | Obligation légale incombant à l'artisan ; Atelibox les conserve pour son compte |
| Preuve de la signature d'un devis (nom, IP, date, empreinte) | Exécution du contrat entre l'artisan et son client (preuve de l'acceptation du devis) ; Atelibox agit pour le compte de l'artisan, responsable de ce traitement |
Aucun traitement n'est fondé sur le consentement, car aucun cookie non essentiel n'est utilisé. Vos données ne sont ni vendues, ni utilisées à des fins publicitaires, ni soumises à une décision automatisée produisant des effets juridiques.
5. Durées de conservation
Faites glisser le tableau pour lire toutes les colonnes.
| Données | Durée |
|---|---|
| Factures et avoirs émis | 10 ans à compter de la clôture de l'exercice (obligation de l'artisan, article L123-22 du Code de commerce) |
| Devis | Durée de vie du compte |
| Compte utilisateur | Durée d'utilisation, puis 3 ans après la dernière activité (hors factures, conservées selon la ligne ci-dessus). La suppression des comptes inactifs sera précédée d'un e-mail de rappel 30 jours avant ; cette procédure est en cours de mise en place et aucun compte n'est supprimé automatiquement d'ici là |
| Demandes d'accès | 12 mois |
| Empreinte d'adresse IP et navigateur d'une demande d'accès | 30 jours |
| Journal d'audit | 12 mois |
| Copies de sauvegarde de la base | 30 jours (copies journalières), 12 mois (copies mensuelles) ; une donnée supprimée disparaît des copies à leur expiration |
| E-mails reçus via le formulaire de contact | 12 mois |
| Adresses IP de limitation des tentatives de connexion | Quelques heures, en mémoire uniquement |
6. Destinataires et sous-traitants
Vos données sont accessibles aux seules personnes habilitées (l'exploitant du service et, pour les données métier, l'artisan et ses collaborateurs) et aux prestataires techniques suivants :
Faites glisser le tableau pour lire toutes les colonnes.
| Prestataire | Rôle | Localisation des données | Garanties |
|---|---|---|---|
| Render | Hébergement de l'application | Serveurs à Francfort (Allemagne) ; société de droit américain | Accès possible depuis les États-Unis : cadre de transfert décrit à l'article 7 |
| Supabase | Base de données et stockage de fichiers | Région eu-central-1 (Francfort, Allemagne) | Accord de traitement de données du prestataire |
| Brevo | Envoi d'e-mails transactionnels | Union européenne (société française) | Prestataire établi dans l'UE |
| WorkOS | Authentification via Google | États-Unis | Cadre de transfert décrit à l'article 7 |
| Connexion Google Sign-In | États-Unis | Cadre de transfert décrit à l'article 7 | |
| Stripe | Paiements (non utilisé pendant la phase gratuite) | États-Unis | Cadre de transfert décrit à l'article 7 |
| jsDelivr | Réseau de diffusion (CDN) de fichiers CSS et JavaScript publics ; reçoit l'adresse IP de votre navigateur | Réseau de diffusion mondial, exploité par Prospect One | Aucune donnée de compte n'est transmise |
Les connexions via Google ne sont effectuées que si vous choisissez ce mode d'authentification. Nous pouvons aussi communiquer des données aux autorités lorsque la loi nous y oblige.
7. Transferts hors de l'Union européenne
Certains prestataires (Render, WorkOS, Google, Stripe) sont des sociétés américaines ou dépendent d'une société mère américaine. Les transferts vers les États-Unis reposent sur la décision d'adéquation relative au Data Privacy Framework UE–États-Unis lorsque le prestataire y adhère, à défaut sur les clauses contractuelles types de la Commission européenne. Vous pouvez demander une copie de ces garanties à [email protected].
8. Sécurité
- Communications chiffrées (HTTPS).
- Mots de passe hachés et salés : nous ne pouvons pas les lire.
- Protection CSRF sur tous les formulaires.
- Limitation des tentatives de connexion.
- Cloisonnement des données par entreprise : un artisan n'accède qu'aux données de son entreprise.
- Fichiers stockés dans un espace privé, accessibles uniquement par liens signés temporaires.
- Journal d'audit des actions sensibles.
Vous pouvez télécharger vos documents au format PDF. Une copie quotidienne chiffrée de la base de données (30 jours glissants, plus une copie mensuelle conservée 12 mois) est conservée hors de l'infrastructure de l'hébergeur ; les fichiers déposés (logos, photos, signatures) n'y sont pas encore inclus. Le détail figure dans la politique de sauvegarde. Nous vous recommandons de conserver une copie de vos documents importants.
En cas de violation de données personnelles présentant un risque, nous la notifierons à la CNIL dans les conditions prévues par le RGPD et en informerons les personnes concernées lorsque c'est exigé.
9. Cookies
Atelibox utilise uniquement des cookies techniques, strictement nécessaires au fonctionnement du service :
session: cookie de session (maintien de la connexion, jeton CSRF) ;remember_token: cookie « se souvenir de moi », déposé uniquement si vous cochez cette option.
Aucun cookie de mesure d'audience, de suivi ou de publicité n'est utilisé. Ces cookies étant exemptés de consentement, aucun bandeau n'est affiché.
10. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, d'opposition, de limitation du traitement et de portabilité de vos données, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.
- Comment les exercer : par e-mail à [email protected]. Nous répondons dans un délai d'un mois. Nous pouvons vous demander un justificatif d'identité en cas de doute raisonnable.
- Données de clients d'un artisan : la demande doit être adressée à l'artisan, responsable de ces données. Atelibox l'assiste dans sa réponse.
- Limites : l'effacement ne peut pas porter sur les factures et avoirs soumis à une obligation légale de conservation.
- Rectification : les informations de votre compte sont modifiables depuis votre page de profil.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr (plainte en ligne).
11. Modification de la politique
Cette politique peut évoluer, notamment avec le service. La date de dernière mise à jour figure en haut de page ; en cas de changement important, les utilisateurs en sont informés.