Politique de confidentialité

Dernière mise à jour : 16 octobre 2026.

Cette politique explique quelles données personnelles OBRA traite, pourquoi, combien de temps, avec qui, et quels sont vos droits. Elle est rédigée conformément au RGPD (règlement UE 2016/679) et aux lois de protection des données personnelles des pays d’Afrique francophone où OBRA est utilisé (voir § 7).

1. Qui est responsable

Le service OBRA est un produit de la société Kaanari, SAS, immatriculée au RCS de Créteil sous le numéro 913 339 719, dont le siège est situé au 137 avenue de Verdun, 94200 Ivry-sur-Seine, France (voir les mentions légales). Kaanari est présente en France et en Côte d'Ivoire (Abidjan). Pour toute question relative à vos données ou pour exercer vos droits : info@kaanari.com (point de contact vie privée).

2. Notre rôle : responsable et sous-traitant

OBRA agit sous deux casquettes, selon la donnée :

• Responsable de traitement pour : votre compte, vos journaux de connexion et de sécurité, la facturation de l’abonnement, le support, la prospection.
• Sous-traitant de votre organisation employeuse pour les données métier que vous saisissez (contacts clients, chantiers et géolocalisation, photos, notes vocales, messages, anomalies, rapports). Pour ces données, votre organisation est responsable ; adressez-lui vos demandes, OBRA l’assiste.

3. Les données que nous traitons

• Identité et contact : e-mail, nom, photo de profil, et numéro de téléphone si vous l’ajoutez (connexion par code SMS).
• Données techniques : adresse IP, type d’appareil/navigateur, identifiants de session ; dans l’application mobile Android, les données de diagnostic que collecte le composant Google de numérisation de documents et de lecture des QR (voir § 5).
• Contenus professionnels : chantiers et leur localisation, photos, notes vocales et leur transcription, messages, anomalies, rapports, contacts clients.
• Position du téléphone (application mobile) : lue seulement quand vous le demandez — « Ma position » sur la carte, « Utiliser ma position » pour placer un chantier —, jamais en arrière-plan. Elle reste sur votre téléphone, sauf si vous l’enregistrez comme position d’un chantier. Quand la carte se centre sur vous, les fournisseurs des fonds de carte (§ 5) reçoivent la zone affichée, comme pour toute carte en ligne.
• Facturation : coordonnées et données de paiement (via Stripe).

Certains contenus libres (rapports de sécurité, anomalies) peuvent contenir des informations sensibles (ex. incident de travail). Merci de n’y renseigner que le nécessaire.

4. Pourquoi, et sur quelle base légale

5. Qui accède à vos données

Vos données ne sont jamais vendues. Elles peuvent être traitées par des prestataires techniques (sous-traitants), strictement pour fournir le service :

• Hetzner Online GmbH — hébergement du service : application, base de données et fichiers (photos, notes vocales), à Falkenstein (Allemagne, Union européenne).
• Stripe — paiement de l’abonnement (États-Unis).
• Fournisseur d’e-mail — e-mails transactionnels.
• Google — dans l’application mobile Android, la numérisation de documents et la lecture des QR de pointage (ML Kit, sur l’appareil). Ce composant transmet à Google des données techniques : journaux de plantage, identifiants de l’appareil.
• OpenFreeMap (Hongrie) — les fonds de la carte des chantiers dans l’application mobile : il reçoit l’adresse IP de l’appareil et la zone affichée, le temps de servir la carte, sans les conserver dans ses journaux.
• Vue satellite de la carte (application mobile, si vous la choisissez) — en France, les photographies aériennes de l’IGN (Géoplateforme, établissement public français) ; ailleurs, celles de TomTom (Pays-Bas). Chacun reçoit l’adresse IP de l’appareil et la zone affichée, le temps de servir les images. Aucune donnée de votre compte ne leur est envoyée.
• Services publics d’adresses — localisation d’une adresse de chantier sur la carte : la Base Adresse Nationale de l’IGN (France), swisstopo (Suisse), geoportail.lu (Luxembourg), sinon OpenStreetMap (Nominatim). Seule l’adresse est envoyée.
• Google (Gemini) — les réponses de l’Agent IA, sauf si votre organisation l’a coupé dans ses Paramètres, et seulement après votre accord avant votre première question : votre question et des extraits de vos dossiers, une fois les noms, e-mails, téléphones et adresses remplacés par des codes. Google ne s’en sert pas pour entraîner ses modèles.

La transcription des notes vocales est réalisée localement sur nos serveurs : votre voix n’est envoyée à aucun tiers.

6. Transferts hors Union européenne

Certains prestataires (Stripe, Google) sont situés aux États-Unis. Ces transferts sont encadrés par les mécanismes prévus par le RGPD (Data Privacy Framework et/ou clauses contractuelles types de la Commission européenne). Lorsque notre équipe en Côte d’Ivoire intervient sur le service (support, maintenance), son accès aux données hébergées dans l’Union européenne est un transfert, encadré de la même façon par les clauses contractuelles types.

7. Utilisateurs en Afrique francophone

Si vous utilisez OBRA en Côte d’Ivoire, au Sénégal, au Mali, au Burkina Faso, au Bénin, au Togo, au Niger, en Guinée ou dans un autre pays d’Afrique francophone, la loi de protection des données de votre pays s’applique aussi — par exemple la loi n° 2013-450 en Côte d’Ivoire, la loi n° 2008-12 au Sénégal, la loi n° 2013-015 au Mali, la loi n° 001-2021/AN au Burkina Faso, le Code du numérique au Bénin ou la loi n° 2019-014 au Togo —, ainsi que les textes régionaux (Acte additionnel de la CEDEAO A/SA.1/01/10, Convention de l’Union africaine dite de Malabo).

• Vos droits y sont les mêmes qu’en Europe (§ 9) et s’exercent de la même façon.
• Hébergement en Europe. Vos données sont hébergées en Allemagne : pour une organisation établie dans ces pays, c’est un transfert hors du pays. L’organisation cliente, responsable de ses données, accomplit la formalité préalable auprès de son autorité (autorisation ou déclaration, selon le pays) ; OBRA lui fournit le dossier nécessaire : lieux de traitement, prestataires, mesures de sécurité, engagements de confidentialité et de restitution des données en fin de contrat.
• Aucune décision automatisée : OBRA ne prend aucune décision vous concernant sur le seul fondement d’un traitement automatisé ou d’un profilage. L’Agent IA répond à des questions ; il ne décide rien.

8. Combien de temps nous les conservons

• Compte : pendant sa vie, puis anonymisation après une longue inactivité.
• Journaux de connexion/sécurité : jusqu’à 12 mois (jusqu’à 3 ans pour les accès du personnel).
• Facturation : 10 ans (obligation comptable).
• Données métier : selon les durées fixées par votre organisation.

9. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Depuis vos réglages, vous pouvez directement télécharger vos données et supprimer votre compte (anonymisation) — y compris sans vous connecter, depuis la page Supprimer votre compte. Pour toute autre demande, écrivez à info@kaanari.com ; nous répondons sous un mois.

10. Sécurité

Mots de passe hachés (Argon2id), sessions révocables, double authentification disponible, chiffrement en transit (HTTPS) et au repos, secrets sensibles chiffrés (AES-256-GCM), cloisonnement strict entre organisations.

11. Accès du personnel OBRA (support)

Pour vous dépanner, un personnel OBRA habilité peut, de façon exceptionnelle, consulter votre organisation et se connecter en lecture seule « en tant que » un utilisateur — sans possibilité de modifier vos données. Ces accès sont tracés et journalisés (qui, quand), réservés à un nombre restreint de personnes soumises à une obligation de confidentialité, et à la seule finalité de support.

12. Cookies

OBRA utilise uniquement des cookies strictement nécessaires à l’authentification et à la sécurité — exemptés de consentement. Si des cookies de mesure d’audience ou marketing étaient ajoutés, votre consentement serait recueilli au préalable.

13. Réclamation

Si vous estimez que vos droits ne sont pas respectés, écrivez-nous d’abord ; vous pouvez aussi introduire une réclamation auprès de l’autorité de protection des données de votre pays :

• France : la CNIL (cnil.fr) ;
• Côte d’Ivoire : l’ARTCI, autorité de protection des données (autoritedeprotection.ci) ;
• Sénégal : la CDP (cdp.sn) ;
• Mali et Bénin : l’APDP de chaque pays ; Burkina Faso : la CIL ; Togo : l’IPDCP ; ailleurs, l’autorité désignée par votre loi nationale.

14. Modifications

Cette politique peut évoluer ; la date de mise à jour en haut de page fait foi. En cas de changement significatif, nous vous en informerons.