Politique de confidentialité

Le responsable du traitement est NEURALPHA (SAS), éditeur d’ARAO, dont le siège est situé 13 rue Claude Monet, 76800 Saint-Étienne-du-Rouvray, France.

Pour toute question sur vos données ou pour exercer vos droits : support@araobtp.ai, ou par téléphone au 07 81 98 70 20.

ARAO traite des données dans deux rôles :

• en responsable de traitement pour les comptes, la facturation, le site, la prospection et l’assistance : la présente politique décrit ces traitements ;
• en sous-traitant de votre entreprise pour les données qu’elle dépose dans ARAO (dossiers, documents, moyens humains, contacts de ses clients et fournisseurs, pièces de ses partenaires de groupement) : l’annexe de traitement des données fixe nos engagements, et votre entreprise reste responsable de ces traitements.

Les traitements d’IA passent par des fournisseurs sous contrat : OpenAI (analyse, rédaction et chiffrage) et Mistral AI (lecture des documents numérisés).

OpenAI : Les données envoyées à l’API d’OpenAI ne servent pas à entraîner ses modèles.

Mistral AI : Les données envoyées à Mistral AI ne servent pas à entraîner ses modèles.

Avant tout envoi à un modèle, les noms des salariés saisis dans « Moyens humains » sont remplacés par des jetons, et le texte d’un CV est caviardé dans votre navigateur avant son analyse.

Vos données ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires. Elles sont accessibles :

• aux membres habilités de l’équipe de l’éditeur, dans la limite de leurs missions et sous obligation de confidentialité ;
• aux prestataires qui les traitent pour notre compte, chacun pour sa seule tâche : Supabase, Vercel, OpenAI, Mistral AI, PDF.co, CloudConvert, Microsoft 365 (OneDrive, Excel), Stripe, Hostinger, Calendly, Notion, Telegram, Google, Microsoft et YouTube. Leur rôle, les données qu’ils reçoivent et leur lieu de traitement sont détaillés sur la page Sous-traitants ;
• aux autorités, sur demande fondée sur la loi.

Hébergement :

• Base de données et fichiers déposés : Supabase, Paris (France) (région AWS eu-west-3).
• Automatisations et traitements des documents : Serveurs exploités par l’éditeur (n8n, Stirling PDF, robot de récupération des DCE), France (instance de secours sur un serveur privé virtuel Hostinger situé en France).
• Site et application web : Vercel, France (Paris) (fichiers de l’application, diffusés par le réseau mondial de Vercel ; aucune donnée de dossier n’y est stockée).

Certains prestataires sont établis ou traitent des données hors de l’Union européenne. Pour chacun, voici la société concernée, le lieu de traitement et les garanties connues à ce jour, dont celles qui encadrent un transfert hors de l’Union (décision d’adéquation, dont le cadre de protection des données UE–États-Unis, ou clauses contractuelles types de la Commission européenne). Un point encore en vérification est signalé comme tel.

• Supabase — Supabase Pte. Ltd. (Singapour)Lieu de traitement : Paris (France), région AWS eu-west-3Garanties : Accord de traitement avec clauses contractuelles types ; données stockées dans la région choisie (Paris)
• Vercel — Vercel Inc. (États-Unis)Lieu de traitement : France (Paris) ; fichiers du site diffusés par le réseau mondial de VercelGaranties : Data Privacy Framework (certification active) et clauses contractuelles types de l’accord de traitementConservation chez le fournisseur : Mesure d’audience sans cookie : visiteur reconnu par une empreinte valable une journée
• OpenAI — OpenAI Ireland Ltd. (Irlande)Lieu de traitement : Europe (projet OpenAI en résidence des données en Europe)Garanties : Accord de traitement avec OpenAI Ireland ; transferts vers ses sociétés affiliées hors UE encadrés par des clauses contractuelles typesConservation chez le fournisseur : Journaux de contrôle des abus : 30 jours au plus
• Mistral AI — Mistral AI SAS (France)Lieu de traitement : FranceGaranties : Société française, données traitées dans l’Union européenne, accord de traitementConservation chez le fournisseur : 30 jours au plus (contrôle des abus)
• PDF.co — Artifex Software, Inc. (États-Unis)Lieu de traitement : États-Unis (AWS, Oregon)Garanties : Accord de traitementConservation chez le fournisseur : Fichiers supprimés au bout d’une heure
• CloudConvert — Lunaweb GmbH (Allemagne)Lieu de traitement : AllemagneGaranties : Société allemande, accord de traitementConservation chez le fournisseur : Fichiers supprimés au plus tard 24 heures après la conversion
• Microsoft 365 (OneDrive, Excel) — Microsoft Ireland Operations Ltd. (Irlande)Lieu de traitement : EuropeGaranties : Accord de protection des données de Microsoft (clauses contractuelles types, Data Privacy Framework), frontière des données de l’UE
• Stripe — Stripe Payments Europe, Ltd. (Irlande)Lieu de traitement : Irlande et États-UnisGaranties : Data Privacy Framework (Stripe, LLC) et clauses contractuelles types de l’accord de traitement
• Hostinger — Hostinger International Ltd. (Chypre)Lieu de traitement : EuropeGaranties : Accord de traitement, clauses contractuelles types hors de l’Espace économique européen
• Calendly — Calendly LLC (États-Unis)Lieu de traitement : États-UnisGaranties : Data Privacy Framework (certification active), clauses contractuelles types en relais
• Notion — Notion Labs, Inc. (États-Unis)Lieu de traitement : États-UnisGaranties : Clauses contractuelles types de l’accord de traitement
• Telegram — Telegram Messenger Inc.Lieu de traitement : Pays-Bas pour les comptes créés dans l’Espace économique européen ; partage possible au sein du groupe Telegram hors UEGaranties : Aucun accord de traitement proposé par Telegram
• Google — Google Ireland Ltd. (Irlande), responsable de traitement de votre compte GoogleLieu de traitement : Infrastructure mondiale de GoogleGaranties : Data Privacy Framework (Google LLC)
• Microsoft — Microsoft Ireland Operations Ltd. (Irlande), responsable de traitement de votre compte MicrosoftLieu de traitement : Infrastructure mondiale de MicrosoftGaranties : Data Privacy Framework (Microsoft Corporation)
• YouTube — Google Ireland Ltd. (Irlande)Lieu de traitement : Infrastructure mondiale de GoogleGaranties : Data Privacy Framework (Google LLC)

• Compte utilisateur : Tant que le compte existe ; effacées avec lui (profil, rubrique « Zone de danger »).
• Connexion avec Google ou Microsoft : Comme le compte.
• Acceptation des conditions : Tant que le compte existe : la trace est supprimée avec lui. Au paiement, Stripe conserve de son côté l’acceptation donnée sur sa page.
• Données de l’entreprise et dossiers d’appels d’offres : Tant que l’entreprise existe dans ARAO ; effacées avec elle. Le départ d’un membre ne les efface pas : elles appartiennent à l’entreprise.
• Espace partenaire (groupement d’entreprises) : Supprimées avec le dossier de l’entreprise qui invite. Le lien cesse de fonctionner 7 jours après la remise des offres ; sa trace est effacée 90 jours plus tard.
• Demande d’essai : La demande, tant que l’entreprise existe ; le numéro SIREN et la date de l’essai, trois ans après l’essai, y compris après la suppression du compte.
• Abonnement et facturation : Factures et pièces comptables : dix ans (article L123-22 du Code de commerce).
• Simulateur de gains : Adresse e-mail et type de navigateur effacés des simulations au bout de 30 jours ; suivi commercial : trois ans au plus après le dernier contact.
• Formulaire de contact et prise de rendez-vous : Trois ans au plus après le dernier contact.
• Alertes et suivi de l’équipe ARAO : Trois ans au plus après le dernier contact.
• Mesure d’audience : Mesure d’audience sans cookie : visiteur reconnu par une empreinte valable une journée
• Sécurité et journaux techniques : Compteurs des limites de débit : adresse IP hachée, jamais stockée en clair, effacée au bout d’un jour ; journaux des hébergeurs : selon leur durée, un an au plus.
• Assistance : Trois ans au plus après le dernier échange.
• Choix sur les cookies : 6 mois, dans le stockage local de votre navigateur.

Les copies de sauvegarde de l’hébergeur disparaissent au terme de leur cycle de rotation. Les durées de conservation chez chaque prestataire, quand elles sont documentées, figurent sur la page Sous-traitants.

Un cookie, ou traceur, est une information déposée dans votre navigateur ou lue depuis celui-ci, qu’il s’agisse d’un cookie ou du stockage local du navigateur. ARAO n’utilise aucun traceur publicitaire.

Traceurs nécessaires, sans consentement

• session de connexion : jetons de connexion conservés dans le stockage de votre navigateur tant que vous restez connecté ; une session est fermée au bout de 30 jours au plus ;
• préférences : entreprise active et réglages d’affichage ;
• votre choix sur les cookies, gardé dans le stockage local de votre navigateur et non dans un cookie, sous trois clés : cookie_consent (tout accepté, tout refusé, ou choix finalité par finalité), cookie_consent_purposes (le détail d’un choix finalité par finalité) et cookie_consent_at (la date du choix).

Mesure d’audience, avec votre accord

La mesure d’audience de Vercel (Web Analytics) ne se charge qu’après votre accord : sans lui, son script n’est pas téléchargé. Si vous retirez votre accord, plus aucune mesure n’est envoyée. Des adresses des pages consultées, seuls les paramètres de campagne (utm_*) sont transmis, jamais un jeton de connexion ni une adresse e-mail. Mesure d’audience sans cookie : visiteur reconnu par une empreinte valable une journée.

Contenus tiers, avec votre accord

Le calendrier de rendez-vous de Calendly, sur la page Démo, et le lecteur de YouTube de certains tutoriels de l’application (adresse youtube-nocookie.com) ne se chargent qu’avec votre accord aux contenus tiers. Sans cet accord, ils restent derrière une façade, qui ne contacte pas ces services :

• les boutons « Afficher le calendrier » et « Lire la vidéo » valent accord aux contenus tiers, et leur texte le dit ; s’il n’y avait pas encore de choix, la mesure d’audience reste refusée ;
• le lien « Ouvrir dans un nouvel onglet » mène au calendrier sur le site de Calendly, sans l’intégrer.

Une fois chargés, ces services peuvent déposer leurs propres traceurs, selon leurs politiques.

Polices de caractères

La police Inter est servie par l’application elle-même : aucune requête n’est envoyée à Google Fonts.

Votre choix

Le bandeau vous permet d’accepter, de refuser ou de choisir finalité par finalité, avec la même facilité. Votre choix est conservé 6 mois, puis vous est redemandé. Vous pouvez le modifier ou retirer votre accord à tout moment par « Gérer les cookies » : en bas de chaque page publique du site et, dans l’application, dans Profil, onglet Sécurité.

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données :

• accès : savoir quelles données nous traitons et en obtenir une copie ;
• rectification : corriger une donnée inexacte ou incomplète ;
• effacement : demander la suppression de vos données ;
• limitation : demander le gel temporaire d’un traitement ;
• portabilité : recevoir vos données dans un format structuré et lisible par une machine ;
• opposition : vous opposer à un traitement fondé sur notre intérêt légitime, et à tout moment à la prospection ;
• retrait du consentement, à tout moment, pour les traitements qui en dépendent ;
• directives sur le sort de vos données après votre décès.

Vous pouvez modifier vos informations dans votre profil, et supprimer votre compte depuis sa rubrique « Zone de danger ». Pour toute autre demande, écrivez à support@araobtp.ai. Nous répondons dans un délai d’un mois, prolongé de deux mois au plus pour une demande complexe, et pouvons vous demander de justifier de votre identité en cas de doute.

Pour les données déposées par une entreprise dans ARAO, adressez-vous d’abord à cette entreprise, responsable du traitement : nous lui transmettons toute demande reçue.

Les mesures qui protègent vos données (hébergement, chiffrement, cloisonnement des entreprises, double authentification, pseudonymisation des noms des salariés) sont décrites sur la page Sécurité.

Cette politique peut évoluer ; sa date de mise à jour figure en tête de page. Une modification importante vous est annoncée par e-mail ou dans l’application.