Politique de confidentialité

1. Préambule

La présente politique de confidentialité décrit la manière dont Nexartis traite vos données personnelles dans le cadre de la fourniture du service de gestion de devis, factures et chantiers accessible à l'adresse nexartis.fr. Nous nous engageons à respecter le Règlement Général sur la Protection des Données (RGPD) et la loi française « Informatique et Libertés ».

2. Responsable du traitement

Le responsable du traitement des données est :

• Nexartis, entreprise individuelle exploitée par Jérémy SCHMITT
• Siège : 144 avenue Pasteur, 33185 Le Haillan, France
• SIRET : 840 059 687 00029
• Contact RGPD : contact.nexartis@gmail.com

Nexartis est responsable de traitement pour les traitements décrits dans la présente politique (compte, facturation, communication, mesure d'audience, logs). En revanche, pour les données que l'artisan enregistre sur ses propres clients et chantiers (y compris les photos, cf. section 3.6), Nexartis agit en qualité de sous-traitant au sens de l'article 28 du RGPD, l'artisan demeurant responsable de traitement (voir l'article 7 bis des CGV).

Délégué à la protection des données (DPO) : aucun DPO n'a été désigné, la nomination d'un DPO n'étant pas légalement obligatoire pour Nexartis (article 37 du RGPD). Toutes les demandes relatives au traitement de vos données peuvent être adressées directement à contact.nexartis@gmail.com, qui sera traitée personnellement par le responsable de traitement dans un délai maximum d'un mois.

3. Données collectées et finalités

3.1. Création de compte

Données collectées : email, mot de passe (chiffré), nom, prénom, raison sociale, SIRET, adresse postale, téléphone.

Finalité : permettre la création et la gestion du compte utilisateur.

Base légale : exécution du contrat (article 6.1.b du RGPD).

3.2. Utilisation du service

Données collectées : données de devis, factures, chantiers, clients, paiements saisies par l'utilisateur ; logs de connexion ; adresse IP ; identifiant de session.

Finalité : fournir le service, maintenir la sécurité, assurer la traçabilité.

Base légale : exécution du contrat + obligations légales (conservation des factures pendant 10 ans, art. L.123-22 du Code de commerce).

3.3. Paiement

Données collectées : informations de carte bancaire (collectées et traitées directement par Stripe, jamais stockées par Nexartis), historique de paiement.

Finalité : encaisser l'abonnement.

Base légale : exécution du contrat.

3.4. Communication marketing (optionnelle)

Données collectées : email, prénom, métier (si renseigné).

Finalité : envoi de la newsletter et d'informations sur les nouveautés.

Base légale : consentement de l'utilisateur (article 6.1.a du RGPD), révocable à tout moment.

3.5. Mesure d'audience

Données collectées : pages visitées, durée des sessions, type d'appareil, navigateur, identifiant de mesure, adresse IP, collectées via Google Analytics 4.

Finalité : améliorer le service, mesurer la fréquentation.

Base légale : consentement de l'utilisateur, recueilli via la bannière cookies (Google Analytics 4 n'étant pas considéré comme une mesure d'audience anonyme).

3.6. Photos de chantier

Données collectées : photographies prises ou importées par l'artisan dans le cadre de ses chantiers (albums avant / pendant / après), pouvant être rattachées à un client, un devis, une facture ou un chantier. Ces photos peuvent contenir des données relatives à des tiers (clients de l'artisan, biens, lieux). Les métadonnées techniques de géolocalisation (EXIF/GPS) sont supprimées au moment de l'import ; un tampon de preuve (date et adresse du chantier) peut être incrusté à la demande de l'artisan.

Finalité : documentation et traçabilité des chantiers, constitution de preuves d'exécution.

Base légale : exécution du contrat (article 6.1.b du RGPD).

Rôle de Nexartis : pour les photos et données relatives aux clients finaux de l'artisan, Nexartis agit en qualité de sous-traitant au sens de l'article 28 du RGPD, l'artisan demeurant responsable de traitement. Nexartis ne traite ces données que sur instruction de l'artisan et pour la seule fourniture du service.

Hébergement : stockage chiffré sur Cloudflare R2 (bucket privé, région Union européenne). Durée de conservation : pendant la durée de l'abonnement, puis 90 jours après résiliation pour permettre l'export, avant suppression définitive.

3.7. Coffre-fort de documents

Données collectées : documents importés par l'artisan dans son espace de stockage sécurisé (notamment attestations d'assurance, certifications, pièces administratives, documents contractuels et tout fichier qu'il choisit d'y déposer). Ces documents peuvent contenir des données relatives à des tiers (clients, salariés, partenaires de l'artisan).

Finalité : permettre à l'artisan de centraliser, conserver et retrouver ses documents professionnels, et de les joindre à ses envois.

Base légale : exécution du contrat (article 6.1.b du RGPD).

Rôle de Nexartis : lorsqu'un document contient des données relatives aux clients ou tiers de l'artisan, Nexartis agit en qualité de sous-traitant au sens de l'article 28 du RGPD, l'artisan demeurant responsable de traitement. Hébergement et conservation : stockage chiffré sur Cloudflare R2 (bucket privé, région Union européenne). Les documents sont conservés pendant la durée de l'abonnement, puis durant une fenêtre de 90 jours après résiliation destinée à permettre leur export, avant suppression. Cette fenêtre ne constitue pas un service d'archivage légal : il appartient à l'artisan de conserver lui-même les pièces soumises à des obligations de conservation plus longues (attestations d'assurance, documents contractuels, pièces comptables).

3.8. Reconnaissance automatique des factures fournisseurs (OCR)

Données collectées : images ou fichiers de factures fournisseurs importés par l'artisan, et les informations extraites automatiquement (nom du fournisseur, dates, montants, taux de TVA, libellés des dépenses).

Finalité : extraire automatiquement les informations d'une facture fournisseur afin de faciliter la saisie des dépenses et leur export comptable. Une validation humaine par l'artisan est requise avant tout enregistrement.

Base légale : exécution du contrat (article 6.1.b du RGPD).

Sous-traitant : l'analyse est réalisée via l'API Google Gemini. Selon les conditions de l'API Gemini applicables aux services payants et aux utilisateurs situés dans l'Espace économique européen, Google n'utilise pas les fichiers transmis pour entraîner ou améliorer ses modèles ; Google peut néanmoins les conserver pendant une durée limitée à des fins de sécurité, de prévention des abus et de respect de ses obligations légales.

Durée de conservation : la facture fournisseur importée et les informations extraites sont conservées par Nexartis en tant que pièces de dépense, conformément à l'obligation légale de conservation des pièces comptables, ou supprimées à la demande de l'artisan.

4. Durée de conservation

• Données de compte actif : pendant toute la durée de l'abonnement.
• Données après résiliation : 90 jours pour permettre l'export, puis suppression complète.
• Factures et données comptables : 10 ans (obligation légale, art. L.123-22 Code de commerce).
• Logs techniques : 12 mois maximum.
• Données marketing : 3 ans après le dernier contact ou dès retrait du consentement.

5. Destinataires des données

Vos données ne sont jamais vendues ni partagées à des fins commerciales. Elles sont accessibles uniquement à :

• L'équipe Nexartis (administration, support, développement) dans la limite stricte de la nécessité.
• Nos sous-traitants techniques, encadrés contractuellement :

Sous-traitants techniques

• Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, États-Unis) — hébergement et diffusion du frontal applicatif via son réseau global de points de présence. Transfert hors UE encadré par les Clauses Contractuelles Types (CCT) européennes.
• Supabase Inc. (970 Toa Payoh North #07-04, Singapour) — base de données PostgreSQL et stockage. Le projet Nexartis est configuré sur la région européenne (Francfort, Allemagne) ; les données utilisateurs sont stockées dans l'Union européenne.
• Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, États-Unis) — stockage objet (service R2) des photos de chantier et des documents (coffre-fort) importés par l'artisan. Le bucket est privé et configuré en juridiction Union européenne (Francfort) ; les fichiers sont stockés dans l'UE. Cloudflare adhère actuellement au Data Privacy Framework UE–États-Unis ; les Clauses Contractuelles Types s'appliquent en complément, à titre de base de transfert autonome.
• Stripe Payments Europe Ltd. (1 Grand Canal Street Lower, Dublin, Irlande) — encaissement de l'abonnement et gestion du portail client.
• Brevo (anciennement Sendinblue), Sendinblue SAS (7 rue de Madrid, 75008 Paris, France) — envoi des emails transactionnels (envoi de devis, factures, notifications). Données traitées en France.
• Google LLC (Google Analytics 4) (1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis) — mesure d'audience, activée uniquement après consentement explicite via la bannière cookies.
• Google LLC (API Google Gemini) (même adresse) — reconnaissance vocale pour les fonctionnalités optionnelles « Devis vocal » et « Commande vocale », ainsi que reconnaissance automatique des factures fournisseurs (OCR). Le flux audio enregistré par l'artisan est transmis à Google le temps strictement nécessaire à la transcription et à l'extraction d'informations structurées (nom de client, lignes de prestations). Selon les conditions d'utilisation actuelles de l'API Gemini, l'audio n'est pas utilisé pour entraîner les modèles de Google lorsqu'une clé API gérée est utilisée. Voir ai.google.dev/gemini-api/terms.

Information importante concernant la fonctionnalité vocale : l'utilisation du micro est entièrement optionnelle. Le navigateur sollicite explicitement votre autorisation avant tout enregistrement audio. À aucun moment l'audio n'est conservé par Nexartis après traitement — seules les informations structurées extraites (texte) sont enregistrées sur votre compte.

6. Transferts hors Union Européenne

Certains de nos sous-traitants traitent vos données depuis des juridictions situées hors de l'Union européenne :

• Vercel (États-Unis) — frontal applicatif et logs techniques.
• Stripe (Irlande, donc UE) — flux de paiement.
• Google LLC (États-Unis) — mesure d'audience (avec consentement) et reconnaissance vocale optionnelle (avec consentement implicite par utilisation de la fonctionnalité micro).
• Supabase (siège à Singapour, infrastructure utilisée pour Nexartis en Allemagne, donc UE).
• Cloudflare (siège aux États-Unis ; stockage des photos de chantier configuré en juridiction UE, à Francfort).

Ces transferts hors UE sont encadrés par les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne (décision d'exécution 2021/914), ainsi que, à titre complémentaire, par le Data Privacy Framework UE-États-Unis lorsque le sous-traitant y adhère actuellement (cas de Vercel, Google et Cloudflare). Les Clauses Contractuelles Types constituant une base de transfert autonome, l'encadrement reste valable indépendamment de l'évolution de ce dispositif. Vos données sont chiffrées en transit (TLS 1.3) et au repos (AES-256).

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : connaître les données que nous détenons sur vous.
• Droit de rectification : corriger des données inexactes.
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, sous réserve des obligations légales de conservation.
• Droit à la portabilité : recevoir vos données dans un format structuré lisible par machine (CSV, JSON).
• Droit d'opposition : vous opposer à un traitement pour motif légitime.
• Droit à la limitation : demander la suspension du traitement en cas de contestation.
• Droit de retirer votre consentement à tout moment pour les traitements basés sur le consentement.
• Droit de définir des directives post-mortem sur le sort de vos données après votre décès.

Pour exercer ces droits, contactez-nous à contact.nexartis@gmail.com. Une réponse vous sera fournie dans un délai d'un mois.

8. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• Adresse : 3 place de Fontenoy, TSA 80715, 75334 Paris cedex 07
• Téléphone : 01 53 73 22 22
• Site web : www.cnil.fr

9. Sécurité

Nexartis met en œuvre des mesures techniques et organisationnelles pour protéger vos données : chiffrement TLS en transit, chiffrement au repos, contrôles d'accès stricts (Row Level Security), authentification avec mot de passe haché, sauvegarde régulière, journalisation des accès, limitation des autorisations à ce qui est strictement nécessaire.

10. Cookies

L'utilisation des cookies sur le site nexartis.fr est décrite dans notre politique cookies. Vous pouvez à tout moment modifier vos préférences via le lien « Gérer les cookies » présent en bas de page.