Dernière mise à jour : 2026 · Conforme au Règlement (UE) 2016/679 (RGPD) et à la loi « Informatique et Libertés ».
La présente politique décrit comment [Raison sociale], éditeur du service OffriBati (ci-après « nous »), collecte et traite les données à caractère personnel des utilisateurs de sa plateforme d'audit de dossiers de consultation des entreprises (DCE).
1. Responsable du traitement
[Raison sociale] — [Forme juridique, capital]
Siège : [Adresse complète]
SIREN : [SIREN] · Contact : contact@example.com
Délégué à la protection des données (le cas échéant) : dpo@example.com
2. Données que nous traitons
| Catégorie | Exemples | Origine |
|---|---|---|
| Données d'identification | Nom, prénom, adresse e-mail professionnelle, société, rôle | Fournies à la création du compte |
| Données de connexion | Horodatage de connexion, adresse IP, jeton de session | Générées automatiquement |
| Documents métier | Fichiers des DCE que vous déposez (CCTP, DPGF, plans, pièces administratives) | Téléversés par vous |
| Données d'usage | Analyses lancées, questions posées à l'assistant, quotas | Générées par votre utilisation |
Minimisation et anonymisation. Les contenus textuels extraits de vos documents (CCTP, DPGF, pièces écrites) font l'objet d'une anonymisation automatique locale, réalisée sur nos serveurs en France, avant tout traitement par notre moteur d'analyse (IA). Deux mécanismes sont combinés :
- Règles déterministes : adresses e-mail, numéros de téléphone, SIRET, IBAN, codes postaux, civilité suivie d'un nom.
- Reconnaissance d'entités nommées (NER) : noms de personnes, lieux et organisations.
Aucune technique automatisée ne peut garantir une détection à 100 % ; l'anonymisation constitue une mesure de minimisation, complétée par les garanties contractuelles et de sécurité décrites ci-dessous. Un tableau de bord de suivi de l'anonymisation est mis à la disposition de l'administrateur de votre société.
Documents originaux. Les fichiers PDF et les plans nécessaires à l'analyse technique (dont les cotes, repères et cartouches ne peuvent être masqués sans dégrader l'audit) sont transmis à notre sous-traitant d'IA tels quels, dans le cadre d'un accord de traitement des données (DPA) strict : aucune utilisation de vos données pour l'entraînement de modèles, chiffrement en transit, et suppression selon les durées indiquées à l'article 4.
3. Finalités et bases légales
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Fourniture du service d'audit de DCE (analyse, métré, assistant) | Exécution du contrat |
| Gestion des comptes et de l'authentification | Exécution du contrat |
| Sécurité, prévention des abus, journalisation | Intérêt légitime / obligation légale |
| Amélioration du service et statistiques anonymisées | Intérêt légitime |
| Mesure d'audience non essentielle, prospection | Consentement (révocable) |
Vos documents et vos données ne sont jamais utilisés pour entraîner des modèles d'intelligence artificielle.
4. Durées de conservation
| Donnée | Durée |
|---|---|
| Fichiers source des DCE (archive ZIP + fichiers extraits) | 30 jours après le dépôt, puis suppression automatique |
| Rapports d'audit générés | Durée du contrat, puis suppression à la résiliation ou sur demande |
| Données de compte (identification) | Durée du contrat, puis jusqu'à 3 ans à des fins de prospection commerciale |
| Journaux de connexion | 12 mois (obligation légale — LCEN) |
| Cookie de session (authentification) | 8 heures maximum |
Ces durées correspondent aux paramètres réellement appliqués sur nos serveurs (purge automatique quotidienne des fichiers de plus de 30 jours).
5. Destinataires et sous-traitants
Vos données sont accessibles à nos personnels habilités et à nos sous-traitants techniques, engagés par contrat (art. 28 RGPD) :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVH SAS | Hébergement des serveurs et des données | France (Union européenne) |
| Anthropic PBC | Moteur d'analyse par IA (sur données anonymisées) | États-Unis — encadré par des clauses contractuelles types (CCT) ; absence d'entraînement sur les données |
| Fournisseur d'e-mails transactionnels | Envoi des e-mails de service (connexion, notifications) | UE / encadré par CCT |
| Stripe à venir | Traitement des paiements par abonnement | Prestataire certifié PCI-DSS — activé uniquement lors de la mise en place du paiement en ligne |
Chaque instance client étant dédiée et isolée, vos dossiers ne sont jamais mutualisés avec ceux d'autres clients.
6. Transferts hors Union européenne
L'hébergement et le stockage sont réalisés en France. Le seul transfert hors UE concerne le traitement d'analyse par IA (Anthropic, États-Unis), réalisé sur des données préalablement anonymisées et encadré par des clauses contractuelles types de la Commission européenne.
7. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives relatives à leur sort après votre décès.
Pour exercer ces droits, écrivez à dpo@example.com (une preuve d'identité pourra être demandée). Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).
8. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : hébergement souverain, isolation par instance, authentification par cookie sécurisé (HttpOnly, sessions limitées à 8 h), mots de passe hachés (bcrypt), accès restreints et journalisés, anonymisation avant traitement IA, suppression automatique des fichiers.
9. Cookies
Le service n'utilise qu'un cookie strictement nécessaire à l'authentification. Aucun traceur de mesure d'audience ou publicitaire n'est déposé sans votre consentement. Voir notre politique de gestion des cookies.
10. Modifications
La présente politique peut être mise à jour. Toute modification substantielle vous sera notifiée. La date de dernière mise à jour figure en tête de document.