Politique de confidentialité
Dernière mise à jour : 3 juillet 2026.
Cette politique explique quelles données personnelles OBRA traite, pourquoi, combien de temps, avec qui, et quels sont vos droits. Elle est rédigée conformément au RGPD (règlement UE 2016/679).
1. Qui est responsable
Le service OBRA est édité par [OBRA SAS — raison sociale], [forme juridique], SIREN [•], dont le siège est [adresse]. Pour toute question relative à vos données ou pour exercer vos droits : [privacy@obra.app] (délégué à la protection des données / point de contact vie privée).
2. Notre rôle : responsable et sous-traitant
OBRA agit sous deux casquettes, selon la donnée :
- Responsable de traitement pour : votre compte, vos journaux de connexion et de sécurité, la facturation de l’abonnement, le support, la prospection.
- Sous-traitant de votre organisation employeuse pour les données métier que vous saisissez (contacts clients, chantiers et géolocalisation, photos, notes vocales, messages, anomalies, rapports). Pour ces données, votre organisation est responsable ; adressez-lui vos demandes, OBRA l’assiste.
3. Les données que nous traitons
- Identité et contact : e-mail, nom, photo de profil.
- Données techniques : adresse IP, type d’appareil/navigateur, identifiants de session.
- Contenus professionnels : chantiers et leur localisation, photos, notes vocales et leur transcription, messages, anomalies, rapports, contacts clients.
- Facturation : coordonnées et données de paiement (via Stripe).
Certains contenus libres (rapports de sécurité, anomalies) peuvent contenir des informations sensibles (ex. incident de travail). Merci de n’y renseigner que le nécessaire.
4. Pourquoi, et sur quelle base légale
| Finalité | Base légale |
|---|---|
| Fournir le service, gérer votre compte | Exécution du contrat |
| Sécurité, journalisation, prévention de la fraude | Intérêt légitime |
| Facturation et obligations comptables | Obligation légale |
| Amélioration et prospection | Intérêt légitime / consentement |
5. Qui accède à vos données
Vos données ne sont jamais vendues. Elles peuvent être traitées par des prestataires techniques (sous-traitants), strictement pour fournir le service :
- Stockage des fichiers (photos, notes vocales) — hébergement UE.
- Stripe — paiement de l’abonnement (États-Unis).
- Fournisseur d’e-mail — e-mails transactionnels.
La transcription des notes vocales est réalisée localement sur nos serveurs : votre voix n’est envoyée à aucun tiers.
6. Transferts hors Union européenne
Certains prestataires (ex. Stripe) sont situés aux États-Unis. Ces transferts sont encadrés par les mécanismes prévus par le RGPD (Data Privacy Framework et/ou clauses contractuelles types de la Commission européenne).
7. Combien de temps nous les conservons
- Compte : pendant sa vie, puis anonymisation après une longue inactivité.
- Journaux de connexion/sécurité : jusqu’à 12 mois (jusqu’à 3 ans pour les accès du personnel).
- Facturation : 10 ans (obligation comptable).
- Données métier : selon les durées fixées par votre organisation.
8. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Depuis vos réglages, vous pouvez directement télécharger vos données etsupprimer votre compte (anonymisation). Pour toute autre demande, écrivez à [privacy@obra.app] ; nous répondons sous un mois.
9. Sécurité
Mots de passe hachés (Argon2id), sessions révocables, double authentification disponible, chiffrement en transit (HTTPS) et au repos, secrets sensibles chiffrés (AES-256-GCM), cloisonnement strict entre organisations.
10. Accès du personnel OBRA (support)
Pour vous dépanner, un personnel OBRA habilité peut, de façon exceptionnelle, consulter votre organisation et se connecter en lecture seule « en tant que » un utilisateur — sans possibilité de modifier vos données. Ces accès sont tracés et journalisés (qui, quand), réservés à un nombre restreint de personnes soumises à une obligation de confidentialité, et à la seule finalité de support.
11. Cookies
OBRA utilise uniquement des cookies strictement nécessaires à l’authentification et à la sécurité — exemptés de consentement. Si des cookies de mesure d’audience ou marketing étaient ajoutés, votre consentement serait recueilli au préalable.
12. Réclamation
Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr) si vous estimez que vos droits ne sont pas respectés.
13. Modifications
Cette politique peut évoluer ; la date de mise à jour en haut de page fait foi. En cas de changement significatif, nous vous en informerons.