Politique de confidentialité

Le responsable du traitement est NEURALPHA (SAS), éditeur d’ARAO, dont le siège est situé 13 rue Claude Monet, 76800 Saint-Étienne-du-Rouvray, France.

Pour toute question sur vos données ou pour exercer vos droits : support@araobtp.ai, ou par téléphone au 07 81 98 70 20.

ARAO traite des données dans deux rôles :

• en responsable de traitement pour les comptes, la facturation, le site, la prospection et l’assistance : la présente politique décrit ces traitements ;
• en sous-traitant de votre entreprise pour les données qu’elle dépose dans ARAO (dossiers, documents, moyens humains, contacts de ses clients et fournisseurs, pièces de ses partenaires de groupement) : l’annexe de traitement des données fixe nos engagements, et votre entreprise reste responsable de ces traitements.

Les traitements d’IA passent par des fournisseurs sous contrat : OpenAI (analyse, rédaction et chiffrage) et Mistral AI (lecture des documents numérisés que le lecteur auto-hébergé de l’éditeur ne prend pas en charge).

OpenAI : Les données envoyées à l’API d’OpenAI ne servent pas à entraîner ses modèles.

Mistral AI : Les données envoyées à Mistral AI ne servent pas à entraîner ses modèles.

Dans le texte transmis à un modèle, les noms des salariés saisis dans « Moyens humains » et des autres personnes repérées dans vos documents (dirigeant, contacts, anciens salariés) sont remplacés par des jetons ; les pièces publiées par l’acheteur (DCE) sont transmises telles quelles. Le texte d’un CV est caviardé dans votre navigateur avant son analyse.

Vos données ne sont ni vendues ni louées. Vos dossiers et les informations de votre compte ne servent jamais à la publicité : seul part, avec votre accord, le fait qu’un compte a été créé, sans e-mail ni nom. Vos données sont accessibles :

• aux membres habilités de l’équipe de l’éditeur, dans la limite de leurs missions et sous obligation de confidentialité ;
• aux prestataires qui les traitent pour notre compte, chacun pour sa seule tâche : Supabase, Vercel, OpenAI, Mistral AI, PDF.co, CloudConvert, Microsoft 365 (OneDrive, Excel), Stripe, Hostinger, Calendly, Notion, Telegram, Google et Microsoft. Leur rôle, les données qu’ils reçoivent et leur lieu de traitement sont détaillés sur la page Sous-traitants ;
• avec votre accord à la publicité, à Google Ads, Meta et TikTok, qui décident aussi de leurs propres usages de ces données (voir « Cookies et traceurs ») ;
• aux autorités, sur demande fondée sur la loi.

Hébergement :

• Base de données et fichiers déposés : Supabase, Paris (France) (région AWS eu-west-3).
• Automatisations et traitements des documents : Serveurs exploités par l’éditeur (n8n, Stirling PDF, robot de récupération des DCE, lecteur OCR), France (instance de secours sur un serveur privé virtuel Hostinger situé en France).
• Site et application web : Vercel, France (Paris) (fichiers de l’application, diffusés par le réseau mondial de Vercel ; aucune donnée de dossier n’y est stockée).

Certains prestataires et partenaires publicitaires sont établis ou traitent des données hors de l’Union européenne. Pour chacun, voici la société concernée, le lieu de traitement et les garanties connues à ce jour, dont celles qui encadrent un transfert hors de l’Union (décision d’adéquation, dont le cadre de protection des données UE–États-Unis, ou clauses contractuelles types de la Commission européenne). Un point encore en vérification est signalé comme tel.

• Supabase — Supabase Pte. Ltd. (Singapour)Lieu de traitement : Paris (France), région AWS eu-west-3Garanties : Accord de traitement avec clauses contractuelles types ; données stockées dans la région choisie (Paris)
• Vercel — Vercel Inc. (États-Unis)Lieu de traitement : France (Paris) ; fichiers du site diffusés par le réseau mondial de VercelGaranties : Data Privacy Framework (certification active) et clauses contractuelles types de l’accord de traitementConservation chez le fournisseur : Mesure d’audience sans cookie : visiteur reconnu par une empreinte valable une journée
• OpenAI — OpenAI Ireland Ltd. (Irlande)Lieu de traitement : Europe (projet OpenAI en résidence des données en Europe)Garanties : Accord de traitement avec OpenAI Ireland ; transferts vers ses sociétés affiliées hors UE encadrés par des clauses contractuelles typesConservation chez le fournisseur : Journaux de contrôle des abus : 30 jours au plus
• Mistral AI — Mistral AI SAS (France)Lieu de traitement : FranceGaranties : Société française, données traitées dans l’Union européenne, accord de traitementConservation chez le fournisseur : 30 jours au plus (contrôle des abus)
• PDF.co — Artifex Software, Inc. (États-Unis)Lieu de traitement : États-Unis (AWS, Oregon)Garanties : Accord de traitementConservation chez le fournisseur : Fichiers supprimés au bout d’une heure
• CloudConvert — Lunaweb GmbH (Allemagne)Lieu de traitement : AllemagneGaranties : Société allemande, accord de traitementConservation chez le fournisseur : Fichiers supprimés au plus tard 24 heures après la conversion
• Microsoft 365 (OneDrive, Excel) — Microsoft Ireland Operations Ltd. (Irlande)Lieu de traitement : EuropeGaranties : Accord de protection des données de Microsoft (clauses contractuelles types, Data Privacy Framework), frontière des données de l’UE
• Stripe — Stripe Payments Europe, Ltd. (Irlande)Lieu de traitement : Irlande et États-UnisGaranties : Data Privacy Framework (Stripe, LLC) et clauses contractuelles types de l’accord de traitement
• Hostinger — Hostinger International Ltd. (Chypre)Lieu de traitement : EuropeGaranties : Accord de traitement, clauses contractuelles types hors de l’Espace économique européen
• Calendly — Calendly LLC (États-Unis)Lieu de traitement : États-UnisGaranties : Data Privacy Framework (certification active), clauses contractuelles types en relais
• Meta — Meta Platforms Ireland Ltd. (Irlande), responsable conjoint avec nous de la collecte, puis seul responsable de ses propres usagesLieu de traitement : Infrastructure mondiale de MetaGaranties : Data Privacy Framework (Meta Platforms, Inc.)Conservation chez le fournisseur : Cookie _fbp : 3 mois
• Google Ads — Google Ireland Limited (Irlande), responsable de traitement de ce qu’elle reçoit pour Google AdsLieu de traitement : Infrastructure mondiale de GoogleGaranties : Data Privacy Framework (Google LLC)Conservation chez le fournisseur : Cookies _gcl_* et _gac_* : 90 jours, IDE : 13 mois
• TikTok — TikTok Technology Limited (Irlande) et TikTok Information Technologies UK Limited, qui indiquent traiter ce qu’elles reçoivent par le pixel en responsables conjoints avec nousLieu de traitement : Stockage aux États-Unis, en Malaisie et à Singapour ; accès à distance depuis d’autres pays du groupe TikTok, dont la ChineGaranties : Clauses contractuelles types, selon la politique de confidentialité de TikTokConservation chez le fournisseur : Cookies _ttp, ttcsid et ttclid : 13 mois après leur dernière utilisation
• Notion — Notion Labs, Inc. (États-Unis)Lieu de traitement : États-UnisGaranties : Clauses contractuelles types de l’accord de traitement
• Telegram — Telegram Messenger Inc.Lieu de traitement : Pays-Bas pour les comptes créés dans l’Espace économique européen ; partage possible au sein du groupe Telegram hors UEGaranties : Aucun accord de traitement proposé par Telegram
• Google — Google Ireland Ltd. (Irlande), responsable de traitement de votre compte GoogleLieu de traitement : Infrastructure mondiale de GoogleGaranties : Data Privacy Framework (Google LLC)
• Microsoft — Microsoft Ireland Operations Ltd. (Irlande), responsable de traitement de votre compte MicrosoftLieu de traitement : Infrastructure mondiale de MicrosoftGaranties : Data Privacy Framework (Microsoft Corporation)

• Compte utilisateur : Tant que le compte existe ; effacées avec lui (profil, rubrique « Zone de danger »).
• Accompagnement à la prise en main : Tant que le compte existe ; effacés avec lui.
• Connexion avec Google ou Microsoft : Comme le compte.
• Acceptation des conditions : Tant que le compte existe : la trace est supprimée avec lui. Au paiement, Stripe conserve de son côté l’acceptation donnée sur sa page.
• Données de l’entreprise et dossiers d’appels d’offres : Tant que l’entreprise existe dans ARAO ; effacées avec elle. Le départ d’un membre ne les efface pas : elles appartiennent à l’entreprise.
• Espace partenaire (groupement d’entreprises) : Supprimées avec le dossier de l’entreprise qui invite. Le lien cesse de fonctionner 7 jours après la remise des offres ; sa trace est effacée 90 jours plus tard.
• Demande d’essai : La demande, tant que l’entreprise existe ; le numéro SIREN et la date de l’essai, trois ans après l’essai, y compris après la suppression du compte.
• Abonnement et facturation : Factures et pièces comptables : dix ans (article L123-22 du Code de commerce).
• Simulateur de gains : Adresse e-mail et type de navigateur effacés des simulations au bout de 30 jours ; suivi commercial : trois ans au plus après le dernier contact.
• Formulaire de contact et prise de rendez-vous : Trois ans au plus après le dernier contact.
• Alertes et suivi de l’équipe ARAO : Trois ans au plus après le dernier contact.
• Mesure d’audience : Mesure d’audience sans cookie : visiteur reconnu par une empreinte valable une journée
• Publicité : Cookies _gcl_* et _gac_* : 90 jours, IDE : 13 mois (Google) ; Cookie _fbp : 3 mois (Meta) ; Cookies _ttp, ttcsid et ttclid : 13 mois après leur dernière utilisation (TikTok).
• Preuve de votre choix sur les cookies : 13 mois. L’envoi passe par nos journaux techniques, et la limite de débit garde une empreinte de votre adresse IP pendant une journée.
• Provenance de votre inscription : 13 mois, puis suppression automatique ; effacées plus tôt si votre compte est supprimé.
• Sécurité et journaux techniques : Compteurs des limites de débit : adresse IP hachée, jamais stockée en clair, effacée au bout d’un jour ; journaux des hébergeurs : selon leur durée, un an au plus.
• Assistance : Trois ans au plus après le dernier échange.
• Choix sur les cookies : 6 mois, dans le stockage local de votre navigateur.

Les copies de sauvegarde de l’hébergeur disparaissent au terme de leur cycle de rotation. Les durées de conservation chez chaque prestataire, quand elles sont documentées, figurent sur la page Sous-traitants.

Un cookie, ou traceur, est une information déposée dans votre navigateur ou lue depuis celui-ci, qu’il s’agisse d’un cookie ou du stockage local du navigateur. Aucun traceur publicitaire ne se charge sans votre accord.

Traceurs nécessaires, sans consentement

• session de connexion : jetons de connexion conservés dans le stockage de votre navigateur tant que vous restez connecté ; une session est fermée au bout de 30 jours au plus ;
• préférences : entreprise active et réglages d’affichage ;
• votre choix sur les cookies, gardé dans le stockage local de votre navigateur et non dans un cookie, sous cinq clés : cookie_consent (tout accepté, tout refusé, ou choix finalité par finalité), cookie_consent_purposes (le détail d’un choix finalité par finalité), cookie_consent_at (la date du choix), cookie_consent_version (la version du choix) et cookie_consent_id (l’identifiant aléatoire de la preuve de votre choix).

Mesure d’audience, avec votre accord

La mesure d’audience de Vercel (Web Analytics) ne se charge qu’après votre accord : sans lui, son script n’est pas téléchargé. Si vous retirez votre accord, plus aucune mesure n’est envoyée. Des adresses des pages consultées, seuls les paramètres de campagne (utm_*) sont transmis, jamais un jeton de connexion ni une adresse e-mail. Mesure d’audience sans cookie : visiteur reconnu par une empreinte valable une journée.

Contenus tiers, avec votre accord

Le calendrier de rendez-vous de Calendly, sur la page Démo, ne se charge qu’avec votre accord aux contenus tiers. Sans cet accord, il reste derrière une façade, qui ne contacte pas ce service :

• le bouton « Afficher le calendrier » vaut accord aux contenus tiers, et son texte le dit ; s’il n’y avait pas encore de choix, la mesure d’audience reste refusée ;
• le lien « Ouvrir dans un nouvel onglet » mène au calendrier sur le site de Calendly, sans l’intégrer.

Une fois chargé, ce service peut déposer ses propres traceurs, selon sa politique.

Les tutoriels vidéo de l’application sont lus depuis son hébergement (Supabase), comme le reste du service : ils n’exigent aucun accord aux contenus tiers et ne contactent aucun autre service.

Publicité, avec votre accord

Le pixel de Meta, la balise de Google Ads (annonces sur la recherche Google et YouTube) et le pixel de TikTok ne se chargent qu’après votre accord à la publicité, distinct des deux autres : sans lui, aucun de leurs scripts n’est téléchargé. Ils servent à mesurer l’efficacité de nos annonces et à les montrer aux personnes susceptibles d’être intéressées, et ces trois sociétés décident aussi de leurs propres usages de ces données, selon leurs politiques. Ils déposent leurs traceurs et reçoivent votre adresse IP, ainsi que :

• les pages publiques que vous consultez et, pour Google Ads et TikTok, l’identifiant du clic sur l’annonce quand vous en venez ; pour TikTok, le nombre de clics et de défilements sur ces pages, sans ce que vous cliquez ni ce que vous saisissez, et le fait que votre visite dure au moins 10 secondes ou passe à une deuxième page ;
• cinq évènements : compte créé, demande d’essai envoyée, rendez-vous réservé, formulaire de contact envoyé, e-mail laissé dans le simulateur, sans leur contenu : ni votre e-mail, ni votre nom, ni votre numéro SIREN.

Rien ne leur est transmis depuis l’application, en dehors de deux évènements, envoyés depuis le tableau de bord ou la page Abonnement : « compte créé » d’une inscription avec Google ou Microsoft, avec l’adresse de la page d’arrivée, et « demande d’essai envoyée ». Rien ne part d’une adresse qui porte un jeton ou un e-mail. Ces données peuvent être traitées hors de l’Union européenne ; les garanties et les durées figurent sur la page Sous-traitants. Si vous retirez votre accord, plus rien ne leur est envoyé et leurs cookies déposés sur notre site sont supprimés. Ceux déposés sur les domaines de Meta, de TikTok et de Google restent : vous pouvez les effacer dans votre navigateur, ou régler vos préférences publicitaires dans vos comptes chez eux.

Pour la collecte par le pixel et sa transmission, NEURALPHA et Meta Platforms Ireland Ltd. sont responsables conjoints (article 26 du RGPD), selon l’avenant de Meta (nouvel onglet). NEURALPHA recueille votre accord et vous informe ; Meta traite seule les données une fois reçues, et répond aux demandes sur ces traitements. TikTok Technology Limited et TikTok Information Technologies UK Limited indiquent traiter en responsables conjoints avec nous ce qu’elles reçoivent par leur pixel ; TikTok stocke ces données aux États-Unis, en Malaisie et à Singapour, et des sociétés de son groupe y accèdent à distance depuis d’autres pays, dont la Chine. Google Ireland Limited classe Google Ads parmi les services dont elle est responsable de traitement, selon ses conditions (nouvel onglet). Vous pouvez exercer vos droits auprès de nous ou directement auprès d’elles : politique de Meta (nouvel onglet), politique de TikTok (nouvel onglet), règles de confidentialité de Google (nouvel onglet).

Polices de caractères

La police Inter est servie par l’application elle-même : aucune requête n’est envoyée à Google Fonts.

Votre choix

Le bandeau vous permet d’accepter, de refuser ou de choisir finalité par finalité, avec la même facilité. Votre choix est conservé 6 mois, puis vous est redemandé. Vous pouvez le modifier ou retirer votre accord à tout moment par « Gérer les cookies » : en bas de chaque page publique du site et, dans l’application, dans Profil, onglet Sécurité.

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données :

• accès : savoir quelles données nous traitons et en obtenir une copie ;
• rectification : corriger une donnée inexacte ou incomplète ;
• effacement : demander la suppression de vos données ;
• limitation : demander le gel temporaire d’un traitement ;
• portabilité : recevoir vos données dans un format structuré et lisible par une machine ;
• opposition : vous opposer à un traitement fondé sur notre intérêt légitime, et à tout moment à la prospection ;
• retrait du consentement, à tout moment, pour les traitements qui en dépendent ;
• directives sur le sort de vos données après votre décès.

Vous pouvez modifier vos informations dans votre profil, et supprimer votre compte depuis sa rubrique « Zone de danger ». Pour toute autre demande, écrivez à support@araobtp.ai. Nous répondons dans un délai d’un mois, prolongé de deux mois au plus pour une demande complexe, et pouvons vous demander de justifier de votre identité en cas de doute.

Pour les données déposées par une entreprise dans ARAO, adressez-vous d’abord à cette entreprise, responsable du traitement : nous lui transmettons toute demande reçue.

Les mesures qui protègent vos données (hébergement, chiffrement, cloisonnement des entreprises, double authentification, pseudonymisation des noms des salariés) sont décrites sur la page Sécurité.

Cette politique peut évoluer ; sa date de mise à jour figure en tête de page. Une modification importante vous est annoncée par e-mail ou dans l’application.