Politique de confidentialité
La présente politique décrit la manière dont ERMACO SARL traite les données à caractère personnel dans le cadre de l'exploitation de la plateforme OUVRAJ (« OUVRAJ »), conformément au Règlement (UE) 2016/679 (RGPD) et à la loi « Informatique et Libertés » modifiée.
1. Responsable de traitement
Pour les données nécessaires à la fourniture du Service (compte utilisateur, facturation de l'abonnement, journalisation technique) :
- Éditeur : ERMACO SARL
- Adresse : 254 rue Vendôme, 69003 Lyon
- Email : contact@ouvraj.com
- Contact pour vos données : contact@ouvraj.com
Pour les données métier saisies par l'organisation cliente (clients, chantiers, devis, factures, contacts), l'organisation cliente est responsable de traitement et ERMACO SARL agit en qualité de sous-traitant au sens de l'article 28 du RGPD. Les conditions de cette sous-traitance sont détaillées dans le Data Processing Agreement (DPA).
2. Données collectées
2.1 Données du compte utilisateur
- identité : nom, prénom, initiale, rôle dans l'organisation ;
- contact : adresse email professionnelle ;
- authentification : identifiant Google OAuth (sub), jeton de session, journaux de connexion (adresse IP, user-agent, date) ;
- préférences : notifications, thème d'accent, paramètres d'interface.
2.2 Données métier saisies
- fiches contacts (clients, gestionnaires, artisans, fournisseurs) : nom, téléphone, email, adresse, notes ;
- chantiers, devis, factures, tâches, photos et pièces jointes ;
- commissions et coûts liés aux chantiers.
2.3 Données techniques
- journaux applicatifs (erreurs, performances) ;
- journaux d'accès (adresse IP, user-agent, route appelée, code retour, durée) ;
- métriques d'usage agrégées (nombre d'actions hors-ligne, latence de synchronisation).
3. Finalités et bases légales
| Finalité | Base légale (RGPD art. 6) |
|---|---|
| Fourniture du Service (création de compte, accès aux fonctionnalités) | Exécution du contrat (art. 6.1.b) |
| Facturation et recouvrement | Exécution du contrat + obligation légale (art. 6.1.b, c) |
| Sécurité (détection de fraude, anti-abus, journaux d'accès) | Intérêt légitime (art. 6.1.f) |
| Amélioration du Service (métriques agrégées anonymisées) | Intérêt légitime (art. 6.1.f) |
| Réponse aux demandes de support | Exécution du contrat (art. 6.1.b) |
| Respect d'obligations légales (comptabilité, lutte anti-fraude) | Obligation légale (art. 6.1.c) |
4. Destinataires
Les données sont accessibles aux personnels habilités de ERMACO SARL ainsi qu'aux sous-traitants techniques suivants, sélectionnés pour leur conformité RGPD :
- Cloudflare, Inc. (États-Unis / UE) — hébergement applicatif, CDN, stockage objet (R2), base de données edge (D1). Adhérent au Data Privacy Framework.
- Stripe, Inc. (Irlande / États-Unis) — traitement des paiements d'abonnement. Adhérent au Data Privacy Framework.
- Resend, Inc. (États-Unis / UE) — envoi des emails transactionnels (magic link, factures, notifications).
- Google Ireland Ltd. (Irlande) — authentification par compte Google (OAuth 2.0), sur consentement de l'Utilisateur.
- Anthropic, PBC (États-Unis) — assistant IA de rédaction des devis : uniquement lorsque l'Utilisateur l'utilise, la description des travaux et les éléments du chantier nécessaires au devis lui sont transmis. Ces données ne sont pas utilisées pour entraîner ses modèles.
- Functional Software, Inc. (Sentry) (États-Unis) — suivi des erreurs techniques ; les données personnelles sont filtrées avant envoi.
- Pennylane SAS (France) — connecteur de facturation, uniquement si l'organisation a activé l'intégration.
Aucune donnée n'est revendue ni cédée à des fins commerciales.
5. Transferts hors UE
Certains sous-traitants (Cloudflare, Stripe, Resend, Anthropic, Sentry) peuvent traiter des données depuis les États-Unis. Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne et, lorsque applicable, par l'adhésion du destinataire au Data Privacy Framework États-Unis – UE.
6. Durée de conservation
| Catégorie | Durée |
|---|---|
| Données du compte actif | Tant que le compte est actif |
| Données après résiliation | Suppression sous 30 jours en production, 90 jours en sauvegardes |
| Factures émises par le Service | 10 ans (obligation comptable, article L.123-22 du Code de commerce) |
| Journaux d'authentification | 12 mois (recommandation CNIL) |
| Journaux applicatifs | 90 jours |
| Sessions inactives | 30 jours glissants (rafraîchies à chaque accès) |
7. Vos droits
Conformément au RGPD, vous disposez des droits suivants sur vos données à caractère personnel :
- Accès (art. 15) : obtenir une copie de vos données ;
- Rectification (art. 16) : corriger des données inexactes ou incomplètes ;
- Opposition (art. 21) : vous opposer au traitement fondé sur l'intérêt légitime ;
- Portabilité (art. 20) : récupérer vos données dans un format structuré (JSON) via la fonction « Exporter mes données » disponible dans vos paramètres ;
- Effacement (art. 17) : supprimer définitivement votre compte et l'ensemble des données de votre organisation via la fonction « Supprimer mon compte » ;
- Limitation (art. 18) : restreindre temporairement un traitement contesté.
Pour exercer ces droits, écrivez-nous à contact@ouvraj.com. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL.
8. Sécurité
ERMACO SARL met en œuvre des mesures techniques et organisationnelles visant à garantir la confidentialité, l'intégrité et la disponibilité des données :
- chiffrement en transit (TLS 1.2+) sur toutes les communications ;
- chiffrement au repos des secrets sensibles (clés API tierces) ;
- contrôle d'accès strict : connexion par lien à usage unique envoyé par e-mail, sessions révocables ;
- journalisation des accès, supervision et alertes de sécurité ;
- sauvegardes quotidiennes chiffrées avec restauration testée.
9. Cookies
OUVRAJ utilise uniquement des cookies strictement nécessaires au fonctionnement du Service (cookie de session d'authentification, cookie de préférences d'interface). Ces cookies sont exempts de consentement préalable conformément à l'article 82 de la loi Informatique et Libertés.
Aucun cookie publicitaire, ni traceur tiers (Google Analytics, Facebook Pixel, etc.) n'est déposé.
10. Modifications
La présente politique peut être modifiée pour refléter les évolutions réglementaires ou techniques. Toute modification substantielle sera notifiée par email et par notification in-app au moins 30 jours avant son entrée en vigueur.
11. Contact
Pour toute question relative au traitement de vos données : contact@ouvraj.com.