Politique de confidentialité

Conformément au RGPD (articles 4.7 et 4.8) :

• L'entreprise cliente (la société du bâtiment qui souscrit à BTPBip) est responsable de traitement des données qu'elle saisit ou importe dans la plateforme (données de ses salariés, clients, fournisseurs, chantiers).
• Codbip, éditeur de BTPBip, agit en qualité de sous-traitant(processor) pour le compte de l'entreprise cliente. Les engagements correspondants (article 28 RGPD) sont formalisés dans un contrat de sous-traitance (DPA) mis à disposition sur demande à [email protégé].
• Pour les données relatives aux utilisateurs de BTPBip collectées directement par Codbip (création de compte, facturation, support, télémétrie technique), Codbip agit en qualité de responsable de traitement.

L'identité complète de l'éditeur responsable (dénomination, SIREN/SIRET, adresse, statut) figure dans les mentions légales.

Dans le cadre de l'exploitation du service pour l'entreprise cliente, les données suivantes peuvent être stockées dans BTPBip :

• Équipes et membres : nom, prénom, poste, coordonnées professionnelles, taux horaire, rattachement équipe.
• Clients BTP : raison sociale, interlocuteurs, adresses, téléphone, email.
• Fournisseurs et commandes : raison sociale, contacts, historique des commandes.
• Chantiers et planning : adresse, géolocalisation, planning, équipes affectées, temps travaillés.
• Devis : contenu commercial, coordonnées client, montants.

Ces données ne sont accessibles qu'aux utilisateurs habilités par l'entreprise cliente et aux administrateurs techniques Codbip strictement nécessaires à l'exploitation du service, conformément à l'article 32 RGPD.

• Exécution du contrat (art. 6-1-b RGPD) : création de compte, fourniture du service, facturation.
• Intérêt légitime (art. 6-1-f RGPD) : sécurité, prévention des abus, télémétrie technique.
• Obligation légale (art. 6-1-c RGPD) : conservation des documents comptables et fiscaux.
• Contrat de sous-traitance (art. 28 RGPD) : traitement des données métier pour le compte de l'entreprise cliente.

Certaines fonctionnalités d'aide à la saisie s'appuient sur un modèle d'intelligence artificielle fourni par Anthropic PBC (Claude) : extraction automatique des devis et documents PDF importés, pré-remplissage de champs, suggestions de planning et assistance au suivi après-vente (SAV).

Lorsqu'une de ces fonctions est utilisée, le document ou le texte concerné est transmis à l'API d'Anthropic le temps du traitement, puis le résultat structuré (montant, dates, catégorie…) est renvoyé à BTPBip. Les échanges sont chiffrés en transit (TLS) et encadrés par les clauses contractuelles types (transfert hors UE). Les données transmises ne sont pas utilisées pour entraîner les modèles d'Anthropic.

Ces traitements restent une aide à la décision: aucune décision produisant des effets juridiques n'est prise sur le seul fondement d'un traitement automatisé (art. 22 RGPD). Un utilisateur vérifie et valide toujours le résultat avant enregistrement.

Les données principales sont hébergées dans l'Union européenne. Certaines sauvegardes ou prestations techniques peuvent impliquer des fournisseurs établis hors Union européenne ; les transferts éventuels sont encadrés par les garanties prévues par le RGPD.

Certains sous-traitants sont situés hors Union européenne : Anthropic (assistance IA) et Google LLC(flux Gmail/Calendar lorsque l'intégration est activée) aux États-Unis, ainsi que la société mère américaine de Stripe. Stripe Payments Europe Ltd. est établie en Irlande (UE) ; des flux limités peuvent transiter vers Stripe, Inc. (États-Unis). Tous ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et les accords de sous-traitance correspondants. Aucun transfert n'est réalisé sans décision d'adéquation ou garanties appropriées au sens des articles 44 à 49 RGPD.

• Compte utilisateur actif : durée de l'abonnement de l'entreprise cliente.
• Compte inactif (sans connexion) : anonymisation automatique après 12 mois d'inactivité par un traitement périodique. Un préavis par email est envoyé à 11 mois.
• Données métier (chantiers, devis, clients, fournisseurs, équipes) : durée de l'abonnement + 1 an à compter de la résiliation, sauf obligation légale.
• Fiche d'un salarié ayant quitté l'entreprise cliente : archivée puis conservée 12 mois après la date de départ, pour une éventuelle réembauche, avant suppression. Les données de santé éventuelles (suivi médical renforcé) sont effacées dès l'archivage. La gestion de cette durée relève de l'entreprise cliente (responsable de traitement) ; Codbip fournit l'outil.
• Données du programme ambassadeurs (identité/KYC, coordonnées bancaires) : conservées le temps de la participation au programme, puis supprimées — sous réserve des obligations comptables (commissions et factures conservées 10 ans).
• Journaux de sécurité : 12 mois.
• Factures Codbip : 10 ans (obligation fiscale).

Les personnes concernées disposent des droits prévus aux articles 15 à 22 du RGPD :

• Droit d'être informé (art. 13-14) : la présente politique en est l'expression.
• Droit d'accès (art. 15) : export DSAR de vos données personnelles en libre-service depuis votre espace (Paramètres › Mes données), sans validation préalable.
• Droit de rectification (art. 16) : correction des données inexactes (coordonnées modifiables depuis votre compte, ou sur demande).
• Droit à l'effacement (art. 17) : suppression de compte en libre-service (anonymisation immédiate), dans les limites des obligations légales de conservation.
• Droit à la limitation du traitement (art. 18) : sur demande, gel du traitement de vos données.
• Droit à la portabilité (art. 20) : récupération de vos données dans un format structuré, couramment utilisé et lisible par machine (export DSAR au format JSON).
• Droit d'opposition (art. 21) : opposition au traitement fondé sur l'intérêt légitime (dont la télémétrie technique), à tout moment.
• Décision automatisée et profilage (art. 22) : voir ci-dessous.
• Directives post-mortem : définition du sort de vos données après décès.

Décision automatisée et profilage (art. 22): BTPBip ne prend aucune décision produisant des effets juridiques ou vous affectant de manière significative qui soit fondée exclusivement sur un traitement automatisé, et ne réalise aucun profilage des personnes concernées. Les suggestions assistées par l'outil (planning, import IA) restent des aides à la décision : un humain garde toujours la main.

Pour exercer ces droits sur les données gérées en tant que sous-traitant (données métier saisies par l'entreprise cliente), les demandes doivent être adressées en priorité à l'entreprise cliente. Codbip assiste cette dernière conformément à l'article 28-3-e du RGPD.

Pour les données traitées par Codbip en qualité de responsable (compte, facturation) : [email protégé]. Délai de réponse : 30 jours maximum. Recours possible auprès de la CNIL.

• chiffrement des communications entre le navigateur et le service ;
• sessions utilisateur protégées par des mécanismes d'authentification sécurisés ;
• contrôles d'accès par rôle et isolation des espaces clients ;
• protection des formulaires publics contre les abus automatisés ;
• journalisation des opérations sensibles à des fins de sécurité et de support ;
• sauvegardes régulières et mesures de restauration en cas d'incident ;
• surveillance technique avec limitation des données collectées au strict nécessaire.