Politique de confidentialité

Version : 2026-10-30 (BROUILLON)

Brouillon : à compléter (« À RENSEIGNER ») et à faire valider avant publication. Les durées marquées « À CONFIRMER » ne sont pas des durées légales ; ce sont des propositions à arrêter par l'éditeur.

1. Qui est responsable de vos données ?

Deux situations sont distinctes :

• Vous êtes un professionnel abonné (ou utilisateur d'un compte abonné) : l'éditeur de Devisoria, Matis Florian David VACHOT, entrepreneur individuel (EI), 47 rue Vivienne, 75002 Paris, est responsable du traitement de vos données de compte, de facturation, de sécurité et d'assistance. C'est l'objet de cette politique.
• Vous êtes le client d'un artisan qui utilise Devisoria (destinataire d'un devis, utilisateur d'un lien d'espace client ou d'un questionnaire de visite) : l'artisan est responsable du traitement de vos données ; Devisoria les traite pour son compte, comme sous-traitant (voir l'accord de sous-traitance). Pour exercer vos droits, adressez-vous d'abord à l'artisan ; si vous nous contactez, nous lui transmettrons votre demande.

Contact : devisoria@devisoria.fr. Aucun délégué à la protection des données n'est désigné à ce jour (désignation non obligatoire a priori, à confirmer).

2. Traitements dont l'éditeur est responsable

Les données marquées obligatoires dans les formulaires sont nécessaires à la création du compte ; sans elles, le Service ne peut pas être fourni.

3. Données traitées pour le compte des artisans

Pour fournir le Service, Devisoria traite, sur instruction de l'artisan : coordonnées de ses clients, devis et versions PDF, pièces jointes, messages de l'espace client, réponses aux questionnaires de visite et photos, notes vocales et leur transcription, événements d'agenda, et — si l'artisan connecte Gmail — le contenu des emails nécessaires à la détection des devis, réponses et demandes. Ces traitements sont décrits dans l'accord de sous-traitance.

4. Connexion Google (Gmail, Google Agenda)

La connexion est facultative et se fait avec l'autorisation explicite de l'utilisateur sur l'écran de Google. Autorisations demandées : lecture des emails (gmail.readonly), envoi d'un email (gmail.send), gestion des événements des agendas dont vous êtes propriétaire (calendar.events.owned), consultation des plages occupées (calendar.freebusy), et identification du compte connecté (openid, email). Si une autorisation n'est pas accordée, la connexion est refusée et le jeton est immédiatement révoqué. Les jetons d'accès sont chiffrés au repos et peuvent être révoqués à tout moment (déconnexion dans Devisoria ou depuis le compte Google).

L'utilisation des données reçues des API Google respecte la politique « Google API Services User Data Policy », y compris les exigences d'usage limité (Limited Use) : elles servent uniquement aux fonctions visibles de Devisoria, ne sont ni vendues ni utilisées à des fins publicitaires, et ne sont lues par une personne qu'avec l'accord de l'utilisateur, pour la sécurité ou une obligation légale.

5. Intelligence artificielle

Si l'entreprise active l'IA, des extraits strictement nécessaires (texte d'une réponse client, description de travaux, lignes d'un devis, photos d'un questionnaire, enregistrement d'une note vocale) sont transmis à OpenAI pour produire une proposition. Ne sont pas transmis : l'historique cité dans les emails, les métadonnées des photos (dont la position GPS). Devisoria demande à OpenAI de ne pas conserver les réponses générées (paramètre store: false) et limite le nombre d'appels par entreprise. D'après la documentation d'OpenAI, les données envoyées par l'API ne sont pas utilisées pour entraîner ses modèles par défaut et des journaux de surveillance des abus peuvent être conservés jusqu'à 30 jours. Ces éléments reflètent la documentation et les réglages du fournisseur, pas un audit : le projet OpenAI utilisé est configuré en résidence « mondiale » (traitement non limité à l'Europe) et les garanties contractuelles de transfert sont à confirmer (accord de traitement des données d'OpenAI).

Les résultats de l'IA sont des propositions vérifiées par l'artisan ; aucune décision produisant des effets juridiques n'est prise automatiquement.

6. Destinataires et sous-traitants

Aucune donnée n'est vendue. L'hébergement du serveur en France ne signifie pas que toutes les données restent en Europe : des transferts hors de l'Union européenne peuvent avoir lieu vers les États-Unis (OpenAI si l'IA est activée, Stripe, services de notification des navigateurs si vous les activez, Google lorsque vous connectez Gmail ou Google Agenda). Mécanisme de garantie applicable à chaque fournisseur À CONFIRMER (décision d'adéquation, dont le cadre UE–États-Unis pour les entreprises qui y adhèrent, ou clauses contractuelles types).

7. Sécurité

Mesures mises en œuvre : chiffrement des connexions (HTTPS en production), mots de passe hachés, double authentification obligatoire pour tous les comptes complets, jetons Google chiffrés, cloisonnement des données par entreprise, liens clients secrets, expirables et révocables, limitation des tentatives, journaux techniques sans contenu de messages, sauvegardes quotidiennes (copie extérieure chiffrée) et restauration testée. Aucune mesure ne garantit une sécurité absolue.

8. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition (notamment à la prospection), de portabilité, et du droit de retirer votre consentement à tout moment. Les administrateurs peuvent exporter les données de l'entreprise depuis « Mes données ». Pour toute demande : devisoria@devisoria.fr. Réponse dans un délai d'un mois (prolongeable dans les cas prévus par le RGPD).

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), www.cnil.fr, ou de l'autorité de protection des données de votre pays de résidence.

9. Cookies

Voir cookies et traceurs.