Politique de confidentialité & RGPD
Conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés. Version du 3 octobre 2026.
Responsable du traitement
[À compléter par l'éditeur : raison sociale, adresse, e-mail de contact RGPD]
Pour les données de VOTRE compte, l'éditeur d'Altitude est responsable du traitement. Pour les données que vous enregistrez sur vos propres clients et contacts (CRM), vous en êtes responsable et Altitude agit comme sous-traitant pour votre compte.
Données traitées
- Compte : nom, adresse e-mail, mot de passe (jamais stocké en clair : empreinte scrypt côté serveur), rôle, plan et statut d'abonnement, rattachement à une équipe.
- Utilisation : date de dernière connexion, nombre de connexions, temps d'activité, journal des actions sensibles.
- Données CRM : clients, prospects et contacts (noms, coordonnées professionnelles), devis, commandes, factures, agenda, comptes rendus, tournées, projets, missions, documents PDF, importés ou saisis par vous.
- Campagnes e-mail : adresses des destinataires que vous choisissez, statut d'envoi, ouverture et clic, désinscription.
- Connexions : si vous connectez Gmail, Google Agenda ou Outlook, les jetons d'accès nécessaires (Gmail : conservés sur le serveur, effacés quand vous déconnectez Gmail ; Google Agenda et Outlook : conservés sur l'appareil, effacés à la déconnexion de l'application ; à la suppression du compte, l'accès Gmail est aussi révoqué auprès de Google).
- Paiement : identifiants client et abonnement Stripe ; les données de carte sont traitées par Stripe, jamais par Altitude.
- Alti (serveur) : historique des actions d'Alti (outil utilisé, paramètres — par exemple les coordonnées d'un prospect proposé), résultats des missions et des automatisations, mémoire d'Alti (préférences et habitudes de travail observées), conservés avec vos données.
- Alti IA : votre accord (date et version) et, seulement si vous l'avez donné, les éléments nécessaires à chaque demande (voir ci-dessous).
- Sur votre appareil : une copie de travail de vos données (pour le hors-ligne), votre session, vos préférences ; la biométrie (Face ID, empreinte) reste dans votre appareil, Altitude n'en reçoit que le résultat oui/non.
Finalités et bases légales
- Fournir le service CRM et gérer votre compte — exécution du contrat (CGU).
- Paiement et facturation de l'abonnement — exécution du contrat et obligations légales (pièces comptables).
- Sécurité (authentification, prévention des abus, journal des actions sensibles) — intérêt légitime.
- Fonctions d'intelligence artificielle (Alti) — votre consentement, demandé séparément, retirable à tout moment.
- Campagnes e-mail que vous envoyez — vous en déterminez la base légale vis-à-vis de vos destinataires ; chaque e-mail contient un lien de désinscription.
Destinataires et sous-traitants
- Supabase — base de données et fichiers, région AWS eu-west-1 (Irlande).
- Netlify — hébergement du site et des fonctions serveur (traitements susceptibles d'avoir lieu hors de l'Union européenne).
- Anthropic (États-Unis) — modèle d'IA Claude, uniquement si vous avez activé Alti IA : votre demande et les données du CRM utiles à cette demande (noms et coordonnées professionnelles, montants, notes…), les documents que vous lui faites lire (photo ou PDF de fiche, lignes d'un import), les e-mails qu'Alti consulte si Gmail est connecté, la mémoire d'Alti ; envois automatiques après accord (pistes de prospection, bilan de la semaine, missions planifiées) ; certaines fonctions lui font effectuer des recherches sur le web.
- Stripe — paiement de l'abonnement.
- Resend et Cloudflare — envoi des e-mails (campagnes, liens de connexion, brief quotidien avec noms et montants de vos clients, si l'administrateur l'active pour votre compte).
- Google (Gmail, Google Agenda) et Microsoft (Outlook) — données transmises uniquement si vous connectez ces services ; le module de connexion Google est chargé à l'ouverture de l'onglet Agenda (Google reçoit alors l'adresse IP du navigateur). L'utilisation et le transfert des informations reçues des API Google respectent les règles Google API Services User Data Policy, y compris les exigences d'usage limité (« Limited Use ») : les données Gmail ne servent qu'aux fonctions que vous déclenchez, ne sont ni vendues, ni utilisées à des fins publicitaires, ni utilisées pour entraîner des modèles d'IA.
- Base Adresse Nationale (api-adresse.data.gouv.fr) et, en secours, OpenStreetMap (Nominatim) — conversion d'adresses en coordonnées pour la carte (adresses seules) ; météo de l'accueil, si vous autorisez la localisation : vos coordonnées de position envoyées à la Base Adresse Nationale (pour obtenir le nom de la ville) et à Open-Meteo.
- OpenStreetMap (tile.openstreetmap.org) — fonds de carte : reçoit l'adresse IP et les zones de carte affichées.
- Google Maps / Waze — si vous exportez un itinéraire de tournée : adresses ou coordonnées des clients de la tournée. WhatsApp — si vous utilisez le bouton de relance WhatsApp : numéro du contact et message (nom du client, montant).
- Dictée vocale — si vous l'utilisez, la reconnaissance vocale du navigateur peut transmettre l'audio à l'éditeur du navigateur (Google pour Chrome, Apple pour Safari).
- Bibliothèques et polices chargées depuis des CDN (unpkg, cdnjs, jsDelivr, Google Fonts) : ces services reçoivent l'adresse IP du navigateur.
Pour les transferts hors de l'Union européenne : [À compléter par l'éditeur : garanties applicables (clauses contractuelles types, cadre UE–États-Unis) selon les contrats signés avec chaque prestataire].
Durées de conservation
- Compte et données CRM : tant que le compte existe. La suppression du compte (Mon compte › Supprimer mon compte, ou la page /supprimer-compte) efface immédiatement le compte, les données CRM, les campagnes, les connexions et les documents.
- Pièces comptables de l'abonnement Altitude : conservées pendant la durée légale ; à la suppression du compte, détachées de celui-ci mais rattachées à l'identifiant client Stripe (pseudonymisées). Stripe, prestataire de paiement, conserve ses propres données de facturation selon ses obligations.
- Journal d'activité : [À compléter par l'éditeur : durée cible] ; à la suppression du compte, les entrées écrites par l'application pour ce compte et son adresse e-mail y sont expurgées ; restent, jusqu'à la fin de cette durée, l'identifiant technique du compte dans les traces du serveur et les mentions de son nom qui ne peuvent pas lui être rattachées avec certitude (par exemple une action d'administration ou une entrée antérieure).
Vos droits
Accès, rectification, effacement, portabilité, limitation, opposition, et retrait du consentement à tout moment. Directement dans l'application : Mon compte › Exporter mes données (fichier JSON, sur ordinateur : site web ou application de bureau), Mon compte › Alti IA (activer / retirer l'accord), Mon compte › Supprimer mon compte. Pour toute autre demande : [À compléter : e-mail RGPD]. Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).
Sécurité
Communications chiffrées (HTTPS/TLS). Mots de passe protégés par scrypt côté serveur. Accès aux données uniquement via des fonctions serveur qui vérifient votre session ; accès direct aux tables refusé (Row Level Security). Chiffrement au repos assuré par l'hébergeur de la base de données.