Politique de confidentialité

1. Identité du responsable de traitement

• WT-ART SAS — Société par actions simplifiée
• SIREN 807 441 209 — RCS Grenoble — SIRET siège 807 441 209 00010
• Siège social : 12 rue Aristide Bergès, 38800 Le Pont-de-Claix, France
• Email général : contact@arsence.fr
• Email DPO : dpo@arsence.fr

2. Données collectées

2.1 Données d'inscription

• Adresse email
• Nom et prénom
• Mot de passe (stocké sous forme de hash cryptographique, jamais en clair)

2.2 Données professionnelles

• Nom de l'organisation
• Numéro SIRET
• Secteur d'activité
• Ville
• Numéro de téléphone

2.3 Données de contenu

• Conversations avec Max (l'agent IA)
• Historique des Validations
• Appels reçus par le standardiste vocal, si vous l'activez (numéro de l'appelant, transcription, résumé)
• Contenus créés ou générés (textes, publications, images, devis, factures, contacts CRM, événements d'agenda, documents de la bibliothèque)

2.4 Données de navigation et d'usage

• Logs d'accès (horodatage, pages consultées)
• Adresse IP anonymisée
• User agent (navigateur, OS)
• Événements d'usage produit (fonctionnalités utilisées, agrégats)

2.5 Données de facturation

• Historique des transactions (montants, dates)
• Identifiant client Stripe
• Aucune donnée de carte bancaire n'est stockée par WT-ART SAS ; celles-ci sont gérées exclusivement par Stripe.

2.6 Application mobile Arsence (iPhone et Android)

L'application mobile affiche le même Service que app.arsence.fr. Elle traite en plus les données suivantes, propres au téléphone.

• Données gardées sur le téléphone. Pour rester utilisable sans réseau, l'application garde sur votre téléphone une copie de votre agenda (de la veille aux quatorze jours suivants), d'au plus cinquante fiches clients, de trente devis récents (dont dix en PDF), des validations en attente et de l'écran « Aujourd'hui », ainsi que les dictées, messages, photos et notes d'appel qui attendent le retour du réseau pour partir. Cette copie reste dans l'espace privé de l'application, chiffré par le système du téléphone, et n'est transmise à personne. Elle est effacée quand vous vous déconnectez, quand vous touchez « Effacer » dans les réglages de l'application, après trente jours sans ouverture de l'application, et quand vous la désinstallez.
• Photos et localisation. L'application n'accède à votre position à aucun moment. Une photo de chantier que vous prenez ou choisissez peut toutefois contenir, dans ses métadonnées, le lieu où elle a été prise. Toute image publiable (site, réseaux sociaux, bibliothèque) en est débarrassée, avec les autres métadonnées (EXIF). Le fichier original, tel qu'envoyé, est conservé dans un espace privé, non public, réservé à votre organisation, pendant douze mois au plus, puis effacé ; il n'est jamais publié. La date de prise de vue sert à ranger la photo.
• Jetons de notification. Pour vous envoyer des notifications, l'application enregistre auprès de nos serveurs un identifiant technique de votre appareil délivré par Google Firebase Cloud Messaging (qui relaie vers Apple sur iPhone), avec la plateforme, le modèle de téléphone et la version de l'application. Ce jeton ne sert qu'aux notifications, n'est jamais écrit dans nos journaux, et il est supprimé à la déconnexion ou dès que Google ou Apple le déclare invalide. Par défaut, une notification affiche le détail (client, montant) sur l'écran verrouillé et transite par Google et Apple pour être acheminée ; le mode « discret », dans les réglages, n'envoie qu'un titre sans détail.
• Face ID et empreinte digitale. Le verrou de l'application est facultatif et désactivé par défaut. La reconnaissance est faite entièrement par le système de votre téléphone : Arsence ne reçoit, ne voit et ne conserve aucune donnée biométrique, seulement la réponse « reconnu » ou « non reconnu ».
• Appareil photo et micro. L'application ne les utilise que lorsque vous touchez « Photo chantier » ou le micro, et après votre autorisation dans le système. Les photos ne partent qu'après « Envoyer ». L'enregistrement d'une dictée est transcrit en texte (OpenAI, voir la liste des sous-traitants) puis effacé du téléphone ; l'audio n'est pas conservé sur nos serveurs.
• Connexion avec Apple. Si vous la choisissez, Apple nous transmet votre nom et une adresse e-mail, éventuellement une adresse relais masquée qui vous fait suivre nos messages.

3. Finalités du traitement

4. Destinataires des données et sous-traitants

Les données peuvent être transmises aux sous-traitants suivants, dans le cadre strict de la fourniture du Service (liste à jour au 23 octobre 2026). La colonne « Quand » indique si le prestataire est sollicité en permanence ou seulement lorsque vous utilisez la fonction concernée.

Services que vous connectez vous-même

Lorsque vous reliez Arsence à vos propres comptes (Etsy, Ankorstore, vos comptes de réseaux sociaux), Max y transmet, à votre demande, les informations nécessaires (fiches produit, publications, commandes). Ces services traitent alors les données selon leurs propres conditions, que vous avez acceptées en ouvrant votre compte chez eux.

Transferts hors UE (art. 44-49 RGPD)

Les données principales sont hébergées dans l'Union européenne (base de données à Francfort, serveur applicatif à Paris). Certains traitements ont toutefois lieu hors de l'Union européenne, en particulier les traitements d'intelligence artificielle (Anthropic, OpenAI, fal.ai), réalisés aux États-Unis. Chaque transfert vers un pays tiers est encadré par :

• les Clauses Contractuelles Types (CCT / SCC) adoptées par la Commission européenne dans sa décision d'exécution (UE) 2021/914 du 4 juin 2021, intégrées aux Data Processing Agreements des prestataires concernés ; et/ou
• la certification du prestataire au Data Privacy Framework UE-US (DPF), couvert par la décision d'adéquation de la Commission européenne du 10 juillet 2023, lorsque le prestataire y est inscrit (notamment Google, Cloudflare, Twilio).

Cas particulier de l'authentification Google : si l'Utilisateur choisit « Continuer avec Google », seules les données d'authentification (adresse email, nom d'affichage, photo de profil le cas échéant) transitent par Google LLC. Ce mode de connexion ne transmet à Google aucune donnée de contenu.

Aucune cession de données à des tiers à des fins commerciales.

5. Durée de conservation

6. Droits des Utilisateurs (RGPD art. 12 à 23)

Conformément au RGPD, l'Utilisateur dispose des droits suivants :

• Droit d'accès (art. 15) : copie de l'ensemble des données détenues.
• Droit de rectification (art. 16) : correction des données inexactes ou incomplètes.
• Droit à l'effacement (art. 17) : suppression du Compte depuis l'interface ou sur demande. Les données sont définitivement purgées sous 30 jours maximum, à l'exception des données soumises à une obligation légale de conservation (factures : 10 ans).
• Droit à la portabilité (art. 20) : export de vos données dans un format structuré et lisible par machine (archive JSON), en un clic depuis votre profil dans l'application ; pour les fichiers déposés (photos, PDF) ou toute autre donnée, sur demande auprès du DPO.
• Droit d'opposition (art. 21) : opposition au traitement fondé sur l'intérêt légitime.
• Droit à la limitation (art. 18) : limitation du traitement dans les cas prévus par le RGPD.

Pour exercer un droit : dpo@arsence.fr. WT-ART SAS s'engage à répondre dans un délai maximum de 30 jours.

Supprimer votre compte et vos données

Depuis l'application (app.arsence.fr, iPhone ou Android) : menu « Paramètres », onglet « Profil », bouton « Supprimer mon compte ». Vous pouvez aussi écrire à dpo@arsence.fr depuis l'adresse de votre compte. La suppression devient définitive après trente jours, pendant lesquels vous pouvez l'annuler ; tout est alors effacé, sauf les factures, conservées dix ans par obligation légale.

7. Sécurité

• Chiffrement en transit : TLS (HTTPS) sur toutes les communications.
• Chiffrement au repos : données Supabase/PostgreSQL chiffrées at-rest, Row Level Security actif.
• Authentification : connexion Google ou Apple, ou email + mot de passe stocké sous forme de hash cryptographique.
• Accès d'administration : accès restreint, authentification multi-facteurs (MFA) et journaux d'audit des actions sensibles.
• Tokens : JWT avec rotation régulière.

8. Cookies

La présente section tient lieu de politique cookies du Service.

8.1 Cookies essentiels

Le Service dépose uniquement des cookies strictement nécessaires à son fonctionnement (authentification, maintien de session, sécurité). Conformément à l'article 82 de la loi Informatique et Libertés et aux lignes directrices de la CNIL, ces cookies sont exemptés de consentement — c'est pourquoi aucun bandeau de consentement n'est affiché.

8.2 Mesure d'audience et analytics

La mesure d'usage du produit repose sur des événements envoyés côté serveur à PostHog (instance hébergée en Union Européenne), sans cookie publicitaire ni traceur tiers déposé sur votre navigateur.

8.3 Cookies publicitaires et tiers

Aucun cookie publicitaire, de profilage ou de réseau social tiers n'est utilisé sur arsence.fr ni sur app.arsence.fr. Si des cookies soumis à consentement devaient être introduits à l'avenir, un bandeau de recueil du consentement serait mis en place au préalable.

9. Modifications

WT-ART SAS se réserve le droit de modifier la présente Politique de confidentialité. Toute modification substantielle sera notifiée à l'Utilisateur au moins 30 jours avant son entrée en vigueur, par email ou notification dans le Service.

10. Réclamation

En cas de difficulté relative au traitement de vos données personnelles, vous pouvez adresser une réclamation à la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• Site web : www.cnil.fr
• Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07