Politique de confidentialité

Préambule

La présente politique décrit la manière dont la société Le Poisson Bleu (SAS, SIRET 951 041 565 00015, siège social 60 rue François 1er, 75008 Paris) (ci-après « nous ») collecte, utilise, partage et protège les données à caractère personnel des utilisateurs du service Tech Report Manager, dans le respect du Règlement (UE) 2016/679 (« RGPD ») et de la loi française « Informatique et Libertés ».

1. Responsable du traitement

Le responsable du traitement est la société Le Poisson Bleu (SAS, SIRET 951 041 565 00015, siège social 60 rue François 1er, 75008 Paris), dont les coordonnées figurent dans les mentions légales.

Pour toute demande relative à vos données personnelles, vous pouvez nous contacter à : support@tech-report.fr.

2. Données collectées

Selon votre usage du Service, nous collectons :

• Données d'identification : nom, prénom, email professionnel, mot de passe (haché).
• Données d'organisation : raison sociale, adresse, SIRET, téléphone.
• Données métier : rapports d'intervention, signatures, photos, annuaire clients.
• Données de planning : rendez-vous et absences des techniciens (dates, motif d'absence — congés, arrêt, formation, réunion, bureau ou autre — et note facultative), utilisés uniquement pour la gestion du planning de l'organisation. Aucun justificatif ni information médicale n'est demandé. Les absences ne figurent dans aucun rapport, PDF ou e-mail. Elles ne sont visibles que des responsables de l'organisation (propriétaire et managers) ; le technicien concerné voit ses propres absences (motif et dates), jamais la note ni les absences de ses collègues.
• Demandes d'intervention : ce que les clients de l'organisation lui demandent avant la planification — client, adresse et référence du site, donneur d'ordre et contact sur place (nom, téléphone), nature de la demande, dates, techniciens pressentis, pièces jointes (PDF, photos) et notes internes. Elles ne sont visibles que des responsables de l'organisation (propriétaire et managers) ; le technicien n'y a pas accès : il reçoit le rendez-vous une fois planifié.
• Données de paiement : exclusivement traitées par Stripe — nous ne stockons aucune coordonnée bancaire.
• Données techniques : adresses IP, logs de connexion (conservés 12 mois), identifiants d'appareil pour la sécurité anti-partage de compte.
• Données d'usage : compteurs anonymisés (nombre de rapports finalisés, etc.) pour le bon dimensionnement du Service.
• Données de mesure d'audience (uniquement avec votre accord) : identifiant du cookie Google Analytics, pages consultées, inscription et clic vers le paiement. Si vous avez accepté au moment de votre inscription, cet identifiant est enregistré avec votre organisation, pour relier vos paiements à votre parcours sur le site.
• Mesure des ventes : à chaque paiement d'abonnement, nous transmettons à Google Analytics le numéro de facture, le montant HT, la TVA et la devise. Ils sont rattachés à l'identifiant ci-dessus si vous avez accepté la mesure d'audience ; sinon, à un identifiant anonyme tiré au hasard à chaque paiement, sans lien avec votre organisation ni avec votre navigation.

3. Finalités & base légale

4. Sous-traitants

Nous faisons appel aux sous-traitants suivants, chacun engagé par un accord de traitement (DPA) conforme au RGPD :

• Google Cloud / Firebase (Irlande) — hébergement, base de données, authentification, stockage de fichiers.
• Stripe Payments Europe Ltd (Irlande) — traitement des paiements.
• OpenAI Ireland Ltd (Irlande) — services d'IA (reformulation, chatbot). Les textes envoyés ne sont pas utilisés pour l'entraînement (API mode).
• Resend Inc. — envoi d'emails transactionnels via SMTP (région de traitement : UE — Irlande).
• Sentry (États-Unis, certifié EU-US DPF) — collecte d'erreurs techniques anonymisées (le cas échéant).
• Google Ireland Ltd (Irlande) — mesure d'audience et des ventes (Google Analytics). Des données peuvent être transférées à Google LLC (États-Unis, certifié EU-US DPF).

Les transferts hors UE éventuels reposent sur les Clauses Contractuelles Types de la Commission européenne, ou sur des décisions d'adéquation (cas d'OpenAI, de Sentry et de Google, certifiés EU-US Data Privacy Framework).

5. Durée de conservation

• Données du compte actif : tant que le compte est actif.
• Après résiliation : 90 jours (réactivation possible), puis suppression définitive.
• Données comptables (factures) : 10 ans (obligation légale).
• Logs techniques : 12 mois.
• Logs IA : 6 mois (anonymisés au-delà).
• Absences des techniciens : conservées le temps nécessaire à la gestion du planning.
• Demandes d'intervention : 24 mois après leur clôture (terminée ou sans suite), durée réglable par l'organisation, puis suppression automatique avec leurs pièces jointes.
• Mesure d'audience : cookies Google Analytics 13 mois au plus ; données dans Google Analytics 14 mois au plus ; choix sur les cookies 6 mois.

6. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès, de rectification, d'effacement (« droit à l'oubli ») ;
• Droit à la limitation et à l'opposition au traitement ;
• Droit à la portabilité de vos données (export complet disponible via Personnaliser → Stockage & sauvegarde) ;
• Droit de retirer votre consentement à tout moment ;
• Droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

Pour exercer l'un de ces droits, écrivez à support@tech-report.fr. Une réponse vous sera apportée sous 30 jours maximum.

7. Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement en transit (HTTPS/TLS) et au repos (Google Cloud par défaut) ;
• Isolation stricte multi-tenant (chaque organisation cloisonnée) ;
• Authentification forte avec 2FA disponible ;
• Sauvegardes quotidiennes et exportables sur votre propre stockage ;
• Logs d'accès et d'audit conservés 12 mois ;
• Politique de rotation des secrets et mots de passe.