Politique de confidentialité

1. Responsable du traitement

2. Aperçu du traitement des données

Auroplan est une plateforme SaaS destinée aux entreprises du bâtiment, bureaux d'architectes, bureaux d'études, project managers et promoteurs pour la gestion de projets de construction, la communication avec les clients et la documentation de l'avancement des chantiers. Nous traitons les données à caractère personnel exclusivement dans le cadre de l'utilisation de notre plateforme et sur la base des lois applicables en matière de protection des données. La présente politique de confidentialité s'applique au site web (buildflow.lu) et à l'application web (app.buildflow.lu).

3. Bases juridiques du traitement

Nous traitons les données à caractère personnel sur les bases juridiques suivantes :

• Art. 6, paragraphe 1, point a) du RGPD – Consentement (par exemple lors d'une prise de contact)
• Art. 6, paragraphe 1, point b) du RGPD – Exécution du contrat (mise à disposition de la plateforme SaaS, gestion de l'abonnement)
• Art. 6, paragraphe 1, point c) du RGPD – Obligation légale (obligations de conservation, facturation)
• Art. 6, paragraphe 1, point f) du RGPD – Intérêt légitime (sécurité de la plateforme, prévention de la fraude)

4. Catégories de données à caractère personnel

4.1 Données du compte

• Adresse e-mail
• Nom complet
• Mot de passe (stocké sous forme hachée)
• Photo de profil (facultatif)
• Rôle (administrateur, membre d'équipe ou client)
• Adresses e-mail des maîtres d'ouvrage (destinataires des liens OTP magiques pour l'accès /c/:slug)

4.2 Données de l'entreprise

• Raison sociale, adresse, téléphone, e-mail, site web
• Type d'entreprise (entreprise du bâtiment, bureau d'architectes, bureau d'études, project manager, promoteur)
• Logo

4.3 Données des projets

• Nom du projet, adresse, description
• Données d'avancement du chantier (phases, statut)
• Photos de chantiers
• Documents (contrats, plans, factures)
• Messages échangés entre l'entreprise et les clients
• Mises à jour du projet et réactions à celles-ci
• Demandes de chat d'aide (question, réponse, horodatage)
• Tâches avec attribution, échéance et statut (y compris e-mails de rappel)
• Lien public anonyme avec shareToken (accès en lecture seule aux mises à jour photo sans connexion)

4.4 Données de paiement

• Identifiant client Stripe et identifiant d'abonnement
• Plan d'abonnement choisi et statut
• Historique des paiements (géré par Stripe)

Remarque : les numéros de carte bancaire et coordonnées bancaires sont traités exclusivement par Stripe et ne sont jamais stockés sur nos serveurs.

4.5 Données techniques

• Adresse IP
• Type et version du navigateur
• Système d'exploitation
• Horodatage de l'accès
• Jeton d'authentification JWT (temporaire)
• Code OTP maître d'ouvrage (token e-mail, validité 15 minutes, expire ensuite automatiquement)
• Cookie Bearer-Token maître d'ouvrage (validité 30 jours pour les sessions /c/:slug)

5. Tiers et sous-traitants

5.1 Supabase (base de données et authentification)

5.2 Stripe (traitement des paiements)

5.3 Mistral AI (fonctions IA : analyse de photos + génération de texte)

Remarque sur le traitement par IA : les textes générés par l'IA sont des suggestions et peuvent être modifiés par l'utilisateur avant publication. L'IA ne prend aucune décision autonome et n'a pas accès aux données de compte ou de paiement.

5.4 Mistral AI (transcription vocale)

5.5 Browserless (génération de PDF)

5.6 Resend (envoi d'e-mails)

5.7 Vercel (hébergement)

5.8 Google OAuth (authentification)

5.9 Apple Sign-In (authentification)

5.10 Sentry (monitoring d'erreurs)

5.11 Google Analytics 4 (analyse web)

5.12 Meta Pixel (mesure publicitaire)

5.13 Microsoft Clarity (analyse UX)

6. Stockage des fichiers et images

Les utilisateurs peuvent télécharger des photos de chantier, des documents et d'autres fichiers sur la plateforme. Ceux-ci sont stockés dans Supabase Storage (centre de données UE). Les fichiers téléchargés sont validés côté serveur quant aux types MIME autorisés et à la taille du fichier (max. 20 Mo pour les images, max. 50 Mo pour les documents). Les noms de fichiers sont anonymisés lors du téléchargement (noms aléatoires cryptographiques).

Les photos de projet peuvent être partagées publiquement par l'administrateur (portail projet public). Dans ce cas, les photos sont accessibles via un lien public.

7. Durée de conservation

• Données du compte : Jusqu'à la suppression du compte par l'utilisateur ou l'entreprise
• Données des projets : Jusqu'à la suppression du projet ou du compte de l'entreprise
• Données de paiement : Conformément aux obligations légales de conservation (10 ans pour les données de facturation)
• Journaux serveur : 30 jours maximum
• Données de traitement IA : Ne sont pas stockées de manière permanente ; seul le résultat généré est enregistré dans la phase de chantier
• Demandes de chat d'aide : Les questions du chat d'aide sont conservées pour améliorer notre support et identifier plus rapidement les problèmes fréquents. Sont enregistrés : la question, la réponse et l'horodatage. Ces données sont utilisées exclusivement en interne pour l'amélioration du produit et ne sont pas transmises à des tiers.
• Données après résiliation : Après résiliation d'un plan payant, toutes les données sont conservées sur le plan Free. Après suppression complète du compte, toutes les données à caractère personnel sont supprimées dans un délai de 30 jours, sous réserve qu'aucune obligation légale de conservation ne s'y oppose. Les données de facturation chez Stripe sont conservées pendant 10 ans conformément à l'obligation fiscale de conservation.
• Tokens d'authentification Les codes OTP expirent automatiquement après 15 minutes · les cookies Bearer maître d'ouvrage après 30 jours · les sessions JWT après 7 jours

8. Transferts de données vers des pays tiers

Certains de nos prestataires sont établis hors du Luxembourg ou y transfèrent des données (Mistral AI, Resend, Vercel, Browserless, Microsoft Clarity). Le transfert de données s'effectue, selon le prestataire, sur la base de :

• EU-US Data Privacy Framework (DPF) en vertu de la décision d'adéquation de la Commission européenne
• Clauses contractuelles types (CCT) conformément à l'art. 46, paragraphe 2, point c) du RGPD

Supabase exploite la base de données dans l'UE (Irlande). Stripe traite les paiements via sa filiale européenne à Dublin.

9. Vos droits en tant que personne concernée

Vous disposez des droits suivants au titre du RGPD :

• Droit d'accès (art. 15) – droit d'obtenir des informations sur les données stockées
• Droit de rectification (art. 16) – droit à la correction de données inexactes
• Droit à l'effacement (art. 17) – droit à la suppression de vos données (« droit à l'oubli »)
• Droit à la limitation du traitement (art. 18) – droit à la limitation du traitement
• Droit à la portabilité des données (art. 20) – droit au transfert de vos données dans un format couramment utilisé
• Droit d'opposition (art. 21) – droit de vous opposer au traitement
• Retrait du consentement (art. 7, paragraphe 3) – droit de retirer à tout moment les consentements donnés

Pour exercer vos droits, contactez : support@buildflow.lu

10. Décision automatisée (art. 22 du RGPD)

Nous n'utilisons aucun processus décisionnel automatisé ni profilage produisant des effets juridiques à votre égard ou vous affectant de manière significative. Les contenus générés par IA (par exemple les descriptions d'avancement issues de l'analyse photo) sont des propositions destinées à aider l'administrateur · ces contenus sont toujours vérifiés et validés manuellement. Les mises à jour publiées qui reposent sur une analyse IA sont signalées au maître d'ouvrage par la mention « assisté par IA ».

11. Droit de réclamation

Vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente :

12. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles étendues pour protéger vos données :

• Transmission chiffrée (HTTPS/TLS) pour toutes les connexions
• Row Level Security (RLS) au niveau de la base de données · chaque entreprise ne voit que ses propres données
• Authentification JWT avec renouvellement automatique des jetons
• Content Security Policy (CSP), HSTS et autres en-têtes de sécurité
• Protection SSRF lors de l'analyse IA (uniquement les URL autorisées)
• Mots de passe hachés (hachage salé via Supabase Auth)
• Restrictions CORS sur les domaines autorisés
• Validation côté serveur de tous les téléchargements (type MIME, taille du fichier, protection contre la double extension)