Politique de Confidentialité

1. Responsable du traitement

VIP Informatique, Rafał Rutkowski
9 Rue de l'Est, 95110 Sannois, France
SIRET : 853 731 305 00027
Pour toute question : contact@vip-informatique.fr

2. Données collectées

Catégorie	Données	Finalité	Base légale
Compte utilisateur	Nom, e-mail, mot de passe hashé, langue, IP de connexion	Authentification, sécurité	Exécution du contrat
Profil entreprise	Raison sociale, SIRET, TVA, adresse, IBAN/BIC, logo	Génération des PDF légaux	Exécution du contrat
Clients de l'utilisateur	Nom, adresse, SIRET, e-mail, téléphone	Facturation, devis	Intérêt légitime (B2B)
Factures & devis	Données comptables, montants, TVA	Conformité fiscale, Factur-X	Obligation légale (L123-22)
Assistance IA	Titres, descriptions, contexte de ligne de devis/service et historique professionnel utile aux suggestions de prix	Reformulation, génération de descriptions, suggestion de prix et aide à la saisie	Exécution du contrat / intérêt légitime
Logs d'activité	Actions utilisateur (connexion, création facture, etc.)	Sécurité, audit	Intérêt légitime, rétention 90 jours
Prise de rendez-vous	Nom, e-mail et, le cas échéant, téléphone saisis sur la page de réservation	Organisation du rendez-vous d'installation offert (30 min)	Consentement (démarche volontaire du visiteur)
Token Pennylane	Token OAuth chiffré (Fernet AES-128)	Synchronisation Pennylane	Consentement (connexion OAuth)

3. Hébergement et transferts de données

Toutes les données sont hébergées en Europe :
• Serveur applicatif : Hetzner Online GmbH, Nuremberg (NBG1), Allemagne
• Base de données : Neon (PostgreSQL serverless, région Europe-UE)
Aucun transfert de données hors UE/EEE pour l'hébergement principal. Hetzner est certifié ISO 27001.

La prise de rendez-vous proposée sur le site s'effectue sur une page de réservation hébergée par Google (Google Calendar). Les informations que vous y saisissez (nom, e-mail et, le cas échéant, téléphone) sont traitées par Google Ireland Limited et peuvent faire l'objet d'un transfert vers Google LLC aux États-Unis, encadré par les clauses contractuelles types de la Commission européenne et le Data Privacy Framework. Aucune donnée de facturation n'est concernée par ce traitement, et aucun cookie Google n'est déposé sur devistor.fr : la page de réservation s'ouvre dans un onglet distinct, uniquement si vous cliquez sur le bouton.

Lorsque l'assistance IA est utilisée, les contenus saisis dans les devis et factures nécessaires à la traduction, à la correction ou à la génération de descriptions et de suggestions de prix peuvent être transmis à Mistral AI SAS. Ces transmissions sont limitées à la demande déclenchée par l'utilisateur, traitées au sein de l'Union européenne et ne sont pas utilisées par DeviStor à d'autres fins.

4. Durée de conservation

• Données de facturation : 10 ans (obligation légale L123-22 du Code de commerce). Cette durée prime sur le droit à l'effacement (RGPD art. 17 §3b).
• Données de compte (email, nom, téléphone) : durée de la relation contractuelle + 3 ans.
• Logs d'activité : 90 jours glissants.
• Tokens OAuth Pennylane : jusqu'à révocation par l'utilisateur.
• Données de prise de rendez-vous : conservées dans l'agenda du fondateur pendant 12 mois après le rendez-vous, puis supprimées.
• Cache IA applicatif : cache technique temporaire en mémoire, réinitialisé au redémarrage du service.

5. Partage des données

Vos données ne sont jamais vendues ni cédées à des tiers. Elles peuvent être transmises uniquement :

• À Pennylane (si vous activez l'intégration), selon leur propre politique de confidentialité.
• À Mistral AI ou au prestataire IA configuré, uniquement lorsque vous utilisez une fonction IA.
• À Hetzner Online GmbH (hébergeur de l'application), en qualité de sous-traitant.
• À Neon (hébergeur base de données), en qualité de sous-traitant.
• À l'infrastructure de messagerie transactionnelle mail.devistor.fr, opérée par DeviStor sur son infrastructure d'hébergement, sans prestataire tiers distinct.
• À Google Ireland Limited, uniquement si vous réservez volontairement un rendez-vous via notre page de réservation Google Calendar, et limité aux informations que vous y saisissez.
• Aux autorités compétentes sur réquisition judiciaire.

Le recours à ces sous-traitants est encadré par un accord de sous-traitance conforme à l'article 28 du RGPD (DPA). L'ensemble de l'hébergement et des traitements est réalisé au sein de l'Union européenne.

6. Vos droits (RGPD)

Conformément au Règlement UE 2016/679, vous disposez des droits suivants :

• Accès : obtenir une copie de vos données personnelles.
• Rectification : corriger des données inexactes.
• Effacement : demander la suppression (sous réserve des obligations légales de conservation).
• Portabilité : recevoir vos données dans un format lisible par machine.
• Opposition : vous opposer à un traitement fondé sur l'intérêt légitime.

Pour exercer ces droits ou pour toute question : contact@vip-informatique.fr
En cas de litige : CNIL, www.cnil.fr

7. Sécurité

Mesures techniques mises en place :

• Mots de passe hashés (bcrypt), jamais stockés en clair.
• Tokens OAuth chiffrés (Fernet AES-128-CBC).
• Sessions sécurisées : HTTPS uniquement, cookies HttpOnly + SameSite=Lax.
• Protection anti-brute force : rate limiting sur les routes sensibles.
• Hébergement certifié ISO 27001 (Hetzner).

8. Bon usage de l'assistance IA

Évitez de saisir dans les champs IA des informations sensibles inutiles, telles que mots de passe, données bancaires privées, données de santé ou informations strictement personnelles non nécessaires à la facturation.