Politique de confidentialité.

01 — Responsable du traitement

Dès immatriculation de la société Novalys SAS, le responsable du traitement sera mis à jour avec les coordonnées officielles (siège social, SIRET, représentant légal).

02 — Données collectées

2.1 — Fournies par le client

• Identification : nom, prénom, email, raison sociale, fonction
• Facturation : adresse, IBAN ou carte (via Stripe — jamais stocké chez nous)
• Authentification : email + token de session

2.2 — Métier importées

• Devis, factures, opportunités CRM via connecteurs (HubSpot, Pennylane ; Axonaut à venir), lorsque vous les activez
• Emails entrants/sortants via Gmail ou Outlook OAuth (consentement explicite)
• Données chantier issues d'emails, messages et imports manuels (analyse documentaire — aucun capteur ni IoT)

2.3 — Techniques

• Logs d'utilisation, type d'appareil, IP (rétention 30 jours)
• Cookies strictement nécessaires (session Supabase)
• Mesure d'audience du site vitrine (Google Analytics) — uniquement après votre acceptation, voir §09

03 — Données Google API (Gmail) & Usage limité

Lorsque vous connectez votre compte Gmail à Novalys (OAuth, consentement explicite et révocable à tout moment), nous accédons à certaines données via les API Google, strictement pour les fonctionnalités décrites ci-dessous.

3.1 — Autorisations demandées (scopes)

3.2 — Minimisation & traitement

• Les requêtes Gmail sont exécutées côté serveur et filtrées (mots-clés métier BTP + contacts connus) : les emails sans rapport ne sont pas parcourus.
• Les identifiants structurés (emails, SIRET, IBAN, téléphones) et les noms connus du système sont tokenisés avant tout traitement par un modèle d'IA ; la correspondance reste en mémoire vive, jamais persistée.
• Contenu chiffré au repos, isolé par locataire (Row-Level Security Postgres), supprimable sur demande (RGPD art. 17 & 20).
• Novalys ne modifie, supprime, classe ni partage aucun email, et n'utilise jamais les données Gmail à des fins publicitaires ni pour entraîner des modèles d'IA généralistes.

3.3 — Usage limité (Google API Services User Data Policy)

Novalys' use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

3.4 — Révocation

Vous pouvez révoquer l'accès à tout moment via myaccount.google.com/permissions ou en déconnectant Gmail depuis Paramètres → Intégrations. La révocation coupe immédiatement tout accès ; les données déjà traitées sont effacées selon les durées de conservation (§06).

04 — Finalités du traitement

05 — Sous-traitants & transferts

Novalys s'appuie sur des sous-traitants techniques liés par DPA et, pour les transferts hors UE, par les Clauses Contractuelles Types de la Commission européenne.

Avant tout appel sortant aux providers LLM, un filtre PII tokenise systématiquement les identifiants structurés (emails, SIRET, IBAN, téléphones) ainsi que les noms connus du système.

06 — Durée de conservation

• Compte actif : durée de l'abonnement
• Compte clôturé : 30 jours puis suppression définitive (sauf obligation légale)
• Données comptables : 10 ans (Code de commerce)
• Logs techniques : 30 jours
• Sauvegardes chiffrées : 90 jours glissants

07 — Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès à vos données personnelles
• Rectification des données inexactes
• Effacement (« droit à l'oubli »)
• Limitation du traitement
• Portabilité dans un format structuré (JSON/CSV)
• Opposition au traitement fondé sur l'intérêt légitime
• Définition de directives post-mortem

Ces droits s'exercent depuis votre espace Paramètres → Confidentialité dans l'application, ou par email à dpo@novalys.app. Réponse sous 30 jours.

En cas de litige, vous pouvez saisir la CNIL : cnil.fr/fr/plaintes

08 — Sécurité

• Chiffrement TLS 1.3 en transit, AES-256 au repos
• Tokens OAuth chiffrés avec clé applicative dédiée
• Politiques RLS (Row-Level Security) strictes par tenant — isolation totale
• Authentification multi-facteur disponible
• Audit logs immuables, signature Ed25519 sur les actions sensibles
• Approche Zero-Trust — aucune clé API en clair, jamais

09 — Cookies

9.1 — Strictement nécessaires (sans consentement)

Ces cookies sont indispensables au fonctionnement du service ; ils ne servent à rien d'autre.

• sb-access-token et sb-refresh-token : session d'authentification (Supabase)
• novalys.consent (stockage local, 6 mois) : mémorise votre choix ci-dessous, afin de ne pas vous le redemander à chaque page

9.2 — Mesure d'audience (sur consentement uniquement)

Nous utilisons Google Analytics 4 pour compter les visites et savoir quelles pages sont utiles. Rien n'est chargé tant que vous n'avez pas accepté : tant que votre réponse est « refuser » — ou absente — aucune requête n'est envoyée à Google et aucun cookie de mesure n'est déposé. Le script de Google n'est même pas téléchargé.

• _ga et _ga_36XD3MZ179 : distinction des visiteurs et des sessions · durée 13 mois (plafond recommandé par la CNIL, fixé explicitement de notre côté) · déposés seulement après acceptation

9.3 — Publicité

À ce jour, aucun cookie publicitaire n'est déposé sur ce site — ni Google Ads, ni Meta Pixel, ni aucun autre. Les signaux publicitaires du Consent Mode de Google (ad_storage, ad_user_data, ad_personalization) sont maintenus en refus, et la redaction des données publicitaires (ads_data_redaction) est active.

Si nous activons un jour la mesure de nos campagnes, une catégorie « Publicité » distincte apparaîtra dans le centre de préférences ci-dessous et votre consentement sera demandé séparément, avant tout dépôt. Elle ne sera jamais cochée d'avance, et l'accepter restera facultatif. Dans tous les cas, nous ne revendons aucune donnée et ne pratiquons aucun profilage individuel.

9.4 — Votre contrôle

Le bandeau propose trois issues de même niveau : Tout refuser, Personnaliser, Tout accepter. Le centre de préférences permet de décider finalité par finalité, aucune case n'étant cochée d'avance. Refuser prend un seul clic, exactement comme accepter, et n'a aucune conséquence sur votre navigation.

Votre choix est conservé 6 mois, puis redemandé. Vous pouvez en changer à tout moment : gérer mes préférences, ou via le lien « Cookies » en pied de page. En cas de retrait, les cookies déjà déposés sont immédiatement supprimés. Le signal navigateur Global Privacy Control (GPC) est respecté et vaut refus, sans même afficher le bandeau.

10 — Modifications

Cette politique peut évoluer pour refléter les changements de service ou de réglementation. Une notification est envoyée aux clients actifs en cas de modification substantielle.