Politique de confidentialité

1. Qui est responsable de vos données ?

Le responsable du traitement est [À COMPLÉTER : raison sociale de l’éditeur], [À COMPLÉTER : forme sociale et montant du capital social], immatriculée au RCS de [À COMPLÉTER : ville du RCS et numéro SIREN], dont le siège social est situé [À COMPLÉTER : adresse du siège social] (l’« Éditeur »).

Pour toute question relative à vos données ou pour exercer vos droits : [À COMPLÉTER : adresse e-mail dédiée aux données personnelles, ou celle du DPO s’il est désigné], ou par courrier à l’adresse du siège social. Délégué à la protection des données : [À COMPLÉTER : délégué à la protection des données désigné (nom ou organisme), ou mention « aucun DPO désigné »].

2. À qui s’applique cette politique ?

Elle s’applique lorsque l’Éditeur traite des données pour son propre compte, au sujet :

• des visiteurs du site de présentation et des pages publiques ;
• des représentants des entreprises clientes (dirigeants) et des Utilisateurs qu’ils invitent (salariés et collaborateurs), pour la gestion de leur compte et la sécurité des accès ;
• des dirigeants invités par l’équipe Brazo à ouvrir l’espace de leur entreprise ;
• des prospects et des personnes qui contactent l’Éditeur.

Données enregistrées par les entreprises clientes

Les entreprises clientes enregistrent dans Brazo des données sur leurs propres clients, salariés, sous-traitants et fournisseurs (devis, factures, planning, temps de travail, pièces des sous-traitants, photos de chantier, etc.). Pour ces données, l’entreprise cliente est responsable du traitement et l’Éditeur agit seulement comme son sous-traitant, selon ses instructions (annexe des CGV). Si vous êtes concerné par ces données, adressez vos demandes à l’entreprise concernée ; l’Éditeur lui transmettra toute demande reçue directement.

C’est notamment le cas lorsque vous déposez des documents par le lien sécurisé qu’une entreprise vous a envoyé en tant que sous-traitant : cette entreprise est responsable du traitement et la page de dépôt présente sa propre notice d’information (finalités, durées de conservation, droits). L’Éditeur héberge ces documents pour son compte. Seules les données techniques de sécurité de cette page (adresse IP utilisée pour limiter le nombre de dépôts) sont traitées par l’Éditeur pour son propre compte, dans les conditions décrites ci-dessous.

3. Quelles données traitons-nous ?

• Compte : nom, adresse e-mail du dirigeant ou identifiant interne de l’Utilisateur (de la forme prénom@domaine, sans adresse e-mail réelle), rôle, modules accessibles, statut actif ou suspendu, dates de création et de dernière connexion.
• Mot de passe : conservé uniquement sous forme hachée par le service d’authentification ; personne chez l’Éditeur ne peut le lire.
• Récupération du compte : adresse e-mail personnelle de récupération et date de sa confirmation. Cette adresse est conservée à part, hors de portée des autres membres de l’entreprise ; seuls apparaissent pour eux la confirmation et sa date.
• Entreprise : dénomination, domaine Brazo, convention collective choisie, offre souscrite.
• Inscription : prénom et nom, adresse e-mail, nom de l’entreprise, statut juridique (micro-entrepreneur, entreprise individuelle, EURL, SARL, SASU, SAS, SA, SNC ou autre), métier (propreté, BTP ou les deux), taille de l’équipe et, si vous le donnez, numéro de téléphone (facultatif) et numéro SIRET de l’entreprise (facultatif). Ces informations restent modifiables par le dirigeant dans Mon entreprise. Si vous utilisez « Retrouver mon entreprise », le texte saisi (nom, SIREN ou SIRET) est transmis par les serveurs de l’Éditeur à l’API publique Recherche d’entreprises de l’État, sans votre adresse IP ni aucune autre information vous concernant.
• Facturation de l’abonnement : coordonnées de facturation, factures, paiements et incidents de paiement ; dans Brazo, seuls l’identifiant client et l’identifiant d’abonnement Stripe, l’offre, la périodicité, l’état de l’abonnement et sa date d’échéance sont enregistrés.
• Données techniques et de sécurité : adresse IP, date et heure, pages demandées, type de navigateur, rapports de sécurité du navigateur, journaux de connexion.
• Échanges : contenu des messages adressés à l’Éditeur (assistance, réclamations, demandes d’exercice de droits).
• Prospects : nom, entreprise, fonction, coordonnées professionnelles et historique des échanges.
• Formulaire de contact du site : nom, entreprise, adresse e-mail, téléphone (facultatif), métier, taille de l’entreprise, message, date d’envoi et date à laquelle vous avez pris connaissance de l’information. L’adresse IP n’est pas enregistrée : seule une empreinte chiffrée, non réversible sans un secret du serveur, est conservée pour limiter les envois abusifs.

Le paiement de l’abonnement est confié au prestataire de paiement Stripe : les données de carte bancaire et le compte bancaire (IBAN) du prélèvement SEPA sont saisis directement sur les pages de Stripe ; l’Éditeur ne les reçoit pas et ne les conserve pas. Il n’utilise aucun outil de mesure d’audience, de publicité ou de suivi d’un site à l’autre.

4. Pourquoi et sur quelle base ?

Lorsque le traitement repose sur l’intérêt légitime, l’Éditeur a vérifié qu’il ne porte pas une atteinte disproportionnée à vos droits ; vous pouvez vous y opposer dans les conditions de la section 9. Au-delà des durées indiquées, les données sont supprimées ou rendues anonymes.

5. Qui reçoit vos données ?

• Les membres habilités du personnel de l’Éditeur, dans la limite de leurs fonctions. Les demandes envoyées par le formulaire de contact ne sont lues que par l’équipe Brazo, dans un espace réservé, et lui sont signalées par e-mail (prestataire d’envoi Resend) ; aucun e-mail automatique n’est envoyé à l’adresse saisie dans le formulaire.
• Au sein de l’entreprise cliente, le dirigeant voit le nom, l’identifiant, le rôle et les accès des Utilisateurs de son entreprise ; il ne voit pas leur adresse e-mail de récupération.
• Les prestataires techniques de l’Éditeur (hébergement, base de données, envoi d’e-mails, intelligence artificielle, plateforme agréée de facturation électronique une fois le raccordement activé) et son prestataire de paiement (Stripe), listés ci-dessous, qui agissent sur ses instructions et sont tenus à la confidentialité.
• Les autorités administratives ou judiciaires, sur demande fondée sur la loi.
• En cas d’opération sur l’activité de l’Éditeur (cession, fusion), le repreneur, dans le respect de la présente politique.

Aucune donnée n’est vendue ni louée.

6. Transferts hors de l’Union européenne

Plusieurs prestataires sont des sociétés établies aux États-Unis, ou peuvent accéder aux données depuis ce pays. Ces transferts sont encadrés par l’une des garanties prévues au chapitre V du RGPD : la décision d’adéquation de la Commission européenne du 10 juillet 2023 (Data Privacy Framework UE–États-Unis) pour les sociétés certifiées, ou les clauses contractuelles types adoptées par la Commission européenne, complétées si nécessaire de mesures supplémentaires. Vous pouvez obtenir une copie de ces garanties en écrivant à l’adresse de la section 1.

7. Intelligence artificielle

Certaines fonctionnalités de Brazo (analyse d’une demande, lecture de factures et de pièces, reformulation, rédaction de conditions générales, assistant intégré) transmettent à un fournisseur de modèles d’intelligence artificielle, Anthropic, les contenus soumis par l’Utilisateur et les données nécessaires à la réponse. L’assistant intégré de Brazo ne consulte que les données que l’Utilisateur a lui-même le droit de voir.

• Ces traitements sont réalisés pour le compte de l’entreprise cliente, à l’initiative de ses Utilisateurs.
• Seules les données utiles à la tâche sont transmises ; la liste nominative des salariés étrangers d’un sous-traitant n’est jamais transmise, et le contenu des factures lues n’est pas inscrit dans les journaux de l’Éditeur.
• La conversation avec l’assistant n’est pas enregistrée sur les serveurs de l’Éditeur : elle est conservée dans l’onglet du navigateur (trente derniers messages), jusqu’à sa fermeture.
• L’Éditeur utilise l’offre professionnelle (API) de son fournisseur ; selon les conditions commerciales de celui-ci en vigueur à la date de la présente politique, les contenus transmis par cette voie ne servent pas à entraîner ses modèles. L’Éditeur n’entraîne lui-même aucun modèle avec vos données.
• Les résultats sont des propositions vérifiées par l’Utilisateur : aucune décision produisant des effets juridiques à votre égard n’est prise de manière entièrement automatisée (article 22 du RGPD).

La dictée vocale utilise la reconnaissance vocale intégrée au navigateur de l’Utilisateur ; selon le navigateur, l’audio peut être traité par son éditeur, selon ses propres conditions. Si la transcription par OpenAI est activée, le message vocal de l’assistant est transmis à ce prestataire pour être converti en texte.

8. Cookies et stockage dans le navigateur

Brazo n’utilise que des cookies et un stockage local strictement nécessaires au fonctionnement du Service ou à des réglages choisis par l’Utilisateur. Conformément à l’article 82 de la loi « Informatique et Libertés » et aux lignes directrices de la CNIL, ils ne nécessitent pas de consentement : c’est pourquoi aucun bandeau de cookies n’est affiché. Aucun cookie de mesure d’audience, de publicité ou de réseau social n’est déposé. Les polices de caractères sont servies par Brazo lui-même, sans appel à un service tiers.

Vous pouvez supprimer ces éléments à tout moment depuis les réglages de votre navigateur ; la suppression du cookie de session vous déconnecte. Si l’Éditeur ajoutait un jour des traceurs soumis à consentement, il recueillerait votre accord au préalable et mettrait cette politique à jour.

9. Vos droits

Vous disposez, dans les conditions prévues par le RGPD, des droits suivants :

• droit d’accès à vos données et d’en obtenir une copie ;
• droit de rectification des données inexactes ou incomplètes ;
• droit à l’effacement, notamment lorsque les données ne sont plus nécessaires ou que vous vous êtes valablement opposé au traitement ;
• droit à la limitation du traitement ;
• droit d’opposition aux traitements fondés sur l’intérêt légitime, pour des raisons tenant à votre situation particulière, et à tout moment, sans avoir à vous justifier, à la prospection commerciale ;
• droit à la portabilité des données que vous avez fournies, pour les traitements fondés sur le contrat ; le dirigeant d’une entreprise cliente l’exerce lui-même dans le Service (Exporter ou supprimer vos données) ;
• droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi « Informatique et Libertés »).

Pour exercer ces droits, écrivez à [À COMPLÉTER : adresse e-mail dédiée aux données personnelles, ou celle du DPO s’il est désigné] ou à l’adresse du siège social. En cas de doute raisonnable sur votre identité, des informations complémentaires peuvent vous être demandées. L’Éditeur répond dans un délai d’un (1) mois à compter de la réception de la demande ; ce délai peut être prolongé de deux (2) mois compte tenu de la complexité ou du nombre de demandes, auquel cas vous en êtes informé dans le premier mois.

Pour les données enregistrées par une entreprise cliente (votre employeur, votre donneur d’ordre ou votre prestataire), adressez-vous en priorité à cette entreprise, responsable du traitement.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr.

10. Exporter ou supprimer vos données

Export complet

Dans Mon entreprise › Mes données, le dirigeant peut exporter toutes les données de l’entreprise, une fois par jour : une archive ZIP (découpée en parties si elle est volumineuse) contenant un fichier CSV par type de données, les PDF des factures émises et tous les fichiers déposés (photos, justificatifs, pièces, logos). L’archive est préparée en arrière-plan ; un e-mail l’avertit quand elle est prête, avec des liens de téléchargement valables vingt-quatre (24) heures. Elle reste disponible dans le Service pendant sept (7) jours, puis elle est supprimée. Elle ne contient ni mot de passe, ni jeton de lien, ni les adresses de récupération personnelles des collaborateurs, ni les identifiants techniques de paiement.

Suppression de l’entreprise

Le dirigeant peut demander la suppression de l’entreprise dans le Service, en confirmant le nom de l’entreprise et son mot de passe, après avoir résilié un éventuel abonnement payant. L’effacement a lieu trente (30) jours après la demande ; jusque-là, l’entreprise reste utilisable et tout dirigeant peut annuler la demande ; chaque dirigeant en est averti par e-mail. À l’échéance, l’accès de tous les comptes est fermé, puis sont effacés : les comptes et leurs adresses de récupération, les clients, chantiers, devis, contrats, interventions, rapports et photos, salariés et temps de travail, sous-traitants et leurs pièces, et tous les fichiers. Les copies de sauvegarde sont effacées au terme de leur cycle normal de rotation.

Seules sont conservées, dans une archive fermée, les pièces que la loi impose de garder dix (10) ans (article L123-22 du code de commerce) : factures émises (avec leurs paiements et leur PDF), factures d’achat, justificatifs de charges et échanges de facture électronique, ainsi que l’identité de l’entreprise qui les a émises. Cette archive est tenue pour le compte de l’entreprise (article 17.3.b du RGPD) ; elle n’est consultée que par l’Éditeur, sur demande d’une autorité ou de l’entreprise elle-même. Chaque pièce est effacée le 31 décembre de la onzième année qui suit sa date. L’entreprise reste tenue de conserver ses propres pièces : elle doit les exporter avant la suppression.

Compte d’un collaborateur

Quand un collaborateur quitte l’entreprise, le dirigeant suspend son accès puis peut supprimer son compte : l’accès est retiré définitivement, et son nom, son identifiant, son adresse de récupération et ses liens en attente sont effacés. Les documents qu’il a créés, ses pointages et ses heures restent rattachés à sa fiche salarié, que l’entreprise conserve sous sa responsabilité d’employeur pour les durées légales.

11. Sécurité

L’Éditeur protège les données par des mesures adaptées aux risques : échanges chiffrés (HTTPS), cloisonnement des données de chaque entreprise dans la base, accès selon le rôle de chaque Utilisateur, mots de passe hachés, liens à usage unique et à durée limitée dont seule l’empreinte est conservée, limitation des tentatives, fichiers stockés dans des espaces privés et contrôlés. Le détail figure à l’annexe des CGV. En cas de violation de données présentant un risque pour vos droits, l’Éditeur notifie la CNIL dans les soixante-douze (72) heures et vous informe lorsque la loi l’exige.

12. Mineurs

Brazo est un service réservé aux professionnels ; il ne s’adresse pas aux mineurs agissant pour leur propre compte. Une entreprise cliente peut ouvrir un accès à un salarié mineur, par exemple un apprenti, sous sa responsabilité d’employeur.

13. Modifications de cette politique

Cette politique peut évoluer, notamment en cas de nouvelle fonctionnalité ou de nouveau prestataire. La date de mise à jour figure en tête de page ; en cas de modification importante, les Utilisateurs en sont informés par e-mail ou dans le Service avant son entrée en vigueur. Les versions précédentes sont communiquées sur demande.