Politique de confidentialité

Qui est responsable

RCWEB — Romain Chabard, 9 route de Chaumont, 41400 Vallières-les-Grandes, est responsable du traitement. Pour toute question sur vos données, écrivez à contact@rcweb.fr.

Ce qui est collecté

Votre compte : adresse email, mot de passe chiffré, le nom et la photo que vous choisissez d'afficher, votre langue. Les dates de connexion sont conservées par le service d'authentification.

Vos espaces de travail : leur nom, qui en fait partie et avec quel rôle, les invitations envoyées.

Les documents que vous déposez, avec leur nom, leur taille et le nom de la personne qui les a ajoutés.

Les rappels que vous posez, avec les personnes à qui ils s'adressent.

Les notes que vous laissez sur les fiches, avec les noms des personnes que vous y nommez.

Boîte mail (si vous en reliez une) : l'adresse de votre boîte et son mot de passe ou jeton de connexion, chiffrés ; les emails échangés avec les fiches de l'espace — expéditeur, destinataires, objet, date, texte — privés jusqu'à ce que vous les partagiez ; conservés la durée fixée par l'espace, effacés quand vous déconnectez la boîte ou quittez l'espace.

Un historique des actions dans chaque espace (qui a fait quoi, quand), visible par ses membres.

Pour protéger le service : quand une demande est refusée — une connexion échouée, un lien faux, un robot — nous enregistrons l'adresse réseau d'où elle venait, ce qui a été refusé et quand. Conservé quatre-vingt-dix jours, lu seulement par les personnes qui exploitent le service, jamais utilisé à autre chose.

Si un espace écrit à votre organisation par email : son nom et ses coordonnées publiques (souvent lues sur son propre site), quand et depuis quelle boîte chaque email est parti, et s'il a été rejeté ou si vous vous êtes désinscrit. Ouvertures et clics sont comptés par campagne et par jour, jamais par personne. Si vous venez d'un email sur son site et y acceptez les cookies, il sait que votre organisation est venue et quelles pages elle a vues ; si vous refusez, rien n'est enregistré. Chaque email permet de partir en un clic ; partir, ou le demander, vous efface.

Si vous activez les notifications sur un appareil, l'identifiant d'abonnement que cet appareil nous transmet — rien d'autre sur l'appareil.

Si nous vous envoyons le lien d'une page — une proposition, un document —, nous enregistrons chaque ouverture et sa durée, pour que celui qui vous l'a envoyé sache qu'elle est arrivée. Nous enregistrons le lien que nous vous avons envoyé, pas votre adresse.

Pourquoi

Pour fournir le service auquel vous vous êtes inscrit : vous connecter, vous montrer vos espaces et leurs données, vous prévenir de ce que vous avez demandé. Rien n'est utilisé à des fins publicitaires, rien n'est vendu.

Qui traite pour nous

Les prestataires suivants traitent des données pour notre compte, sous contrat :

• Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992 — base de données, fichiers et authentification, région eu-west-3 (Paris).
• OVH SAS, 2 rue Kellermann, 59100 Roubaix, France — exécute l'application.
• Un prestataire d'envoi d'emails — pour les messages que l'application vous envoie.
• Le service de notification de votre navigateur (Apple, Google, Mozilla) — pour les notifications sur votre appareil.
• Sentry — reçoit les rapports d'erreurs techniques, sans votre email ni votre adresse.
• Les services d'automatisation qu'un responsable d'espace choisit de connecter (Make, n8n, Zapier…) : ils reçoivent les événements que ce responsable a configurés.
• Les fournisseurs d'intelligence artificielle choisis par un espace, s'il en a choisi (voir « Assistant d'intelligence artificielle »).
• Stripe, quand un paiement passe par ce site (voir « Paiements »).

Assistant d'intelligence artificielle

Chaque espace peut activer un assistant d'intelligence artificielle. Il est coupé par défaut : un responsable de l'espace doit choisir un fournisseur et y poser la clé de l'espace.

Ce qui est envoyé : quand un membre le demande (un résumé, une réponse à écrire, « Votre journée », une question) — ou, si l'espace a activé la file « À traiter », à l'arrivée de chaque email, ticket ou demande —, l'application envoie au fournisseur le texte nécessaire : emails, rappels, commentaires, noms des documents et autres données des fiches. Quand un membre joint lui-même un fichier à sa demande (un PDF, une photo), ce fichier est envoyé aussi. Seulement ce que l'espace autorise dans ses réglages, et seulement ce que la personne qui demande peut elle-même consulter.

Pourquoi : pour produire le résumé, le brouillon ou la réponse demandés. L'assistant propose et une personne valide : il n'envoie, ne supprime et ne modifie rien seul.

À qui, et où :

• Anthropic (États-Unis) : efface les données reçues par son API sous 30 jours, sauf contenu signalé par ses contrôles de sécurité ou obligation légale, et ne s'en sert pas pour entraîner ses modèles.
• OpenAI (États-Unis) : conserve les données reçues par son API jusqu'à 30 jours pour détecter les abus, sauf obligation légale, et ne s'en sert pas pour entraîner ses modèles.
• Mistral AI (Union européenne) : conserve les données reçues par son API 30 jours pour détecter les abus.

Un transfert hors de l'Union européenne s'appuie sur les garanties prévues par le fournisseur (clauses contractuelles types). Ces durées sont celles que les fournisseurs annoncent : leurs propres conditions font foi.

Dans l'application : ni le texte envoyé ni un fichier joint ne sont gardés, seulement la trace de l'appel (qui, quand, quelle action, combien de jetons). Les préparations de la file « À traiter » (résumé, réponse proposée) sont gardées avec l'élément qu'elles concernent, et supprimées avec lui.

Comment le couper : un responsable de l'espace peut couper l'assistant à tout moment (Réglages › Assistant, fournisseur « Aucun ») ou limiter ce qu'il lit. Pour exercer vos droits, adressez-vous à l'espace concerné ou à l'éditeur (contact ci-dessus).

Paiements

Un paiement se fait sur la page de Stripe (Stripe Payments Europe, Irlande) : votre carte et votre adresse y sont saisies et ne parviennent jamais à cette application. Stripe les traite selon ses propres conditions, qui font foi.

Ce site garde, pour savoir où en est un paiement : son montant, son statut, ses dates, l'adresse e-mail du payeur et les identifiants Stripe. Ils sont supprimés avec l'espace concerné ; Stripe conserve la trace comptable.

Combien de temps

• Votre compte et vos données : jusqu'à la suppression du compte, que vous pouvez faire vous-même depuis votre page de compte.
• L'historique d'activité : 90 jours.
• Les éléments supprimés : 30 jours dans la corbeille, puis effacés définitivement.
• Les notifications : jusqu'à 180 jours.
• Les ouvertures d'une page que nous vous avons envoyée : 365 jours.

Vos droits

Vous pouvez consulter, corriger et télécharger tout ce que l'application détient sur vous, et supprimer votre compte, depuis votre page de compte — sans demande à envoyer.

Pour tout le reste, ou pour exercer un droit à la main, écrivez à contact@rcweb.fr.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL.

Cookies

L'application ne dépose que ce dont elle a besoin pour fonctionner : un cookie de session qui vous garde connecté et un cookie qui retient votre langue. Aucun traceur, aucun cookie publicitaire — c'est pourquoi il n'y a pas de bandeau.

Sécurité

Les données circulent chiffrées. Chaque espace est isolé des autres au niveau de la base de données. Les mots de passe sont stockés hachés, jamais lisibles.