Alcaraz & Co

Politique de confidentialité

Dernière mise à jour : 25 octobre 2026

Cette politique décrit le traitement des données personnelles dans le cadre du service Alcaraz & Co, conformément au Règlement général sur la protection des données (RGPD) et à la loi « Informatique et Libertés ».

Responsable du traitement

Le responsable du traitement est Samuel Alcaraz, entrepreneur individuel (micro-entreprise), éditeur du service Alcaraz & Co (SIREN 108 978 529, SIRET 108 978 529 00015), siège social au 123 avenue de Romans, 26000 Valence. Contact : samuel@alcaraz-co.fr. Voir aussi les mentions légales.

Données collectées

  • Compte : adresse e-mail, raison sociale, et SIRET (le cas échéant).
  • Coordonnées de l'entreprise que vous renseignez pour vos documents : e-mail et téléphone professionnels, adresse, IBAN et BIC.
  • Données métier saisies par l'utilisateur : clients, chantiers, devis, factures, catalogue de prix et coûts.
  • Données techniques : journaux de connexion et de sécurité (anti-abus), dont l'adresse IP et l'identifiant du navigateur (user-agent), strictement nécessaires au fonctionnement.
  • Destinataires d'un devis : si vous consultez un devis via le lien qui vous a été transmis par le professionnel, la date de votre dernière consultation est enregistrée (jour uniquement, jamais l'heure ; écrasée à chaque nouvelle consultation, aucun historique conservé). Cette page ne dépose aucun cookie ni traceur.

Finalités et bases légales

  • Création et gestion du compte, fourniture du service — exécution du contrat (CGU).
  • Sécurité, prévention de la fraude et des abus — intérêt légitime.
  • Envoi d'e-mails liés au compte (confirmation, réinitialisation) — exécution du contrat.
  • Suivi de la consultation d'un devis en ligne par son destinataire — intérêt légitime du professionnel à savoir si le devis qu'il a transmis a été consulté, pour assurer le suivi de sa relation commerciale.
  • Traitement des mails que vous transférez à votre adresse de transfert Alcaraz, pour en faire un client et une affaire si vous le décidez — exécution du contrat (CGU) ; pour les données de l’expéditeur d’origine, c’est vous qui décidez de les transférer et nous agissons pour votre compte.

Pour les données que vous saisissez sur vos propres clients, fournisseurs et sous-traitants (fiche client, devis, chantiers, factures, rendez-vous, messages), c'est vous — le professionnel utilisateur du service — qui êtes responsable du traitement ; Alcaraz & Co les héberge et les traite pour votre compte (sous-traitant, article 28 du RGPD). Les bases légales ci-dessous sont donc celles de votre relation avec vos clients :

  • Gestion de votre fichier clients (identité, coordonnées, historique) — exécution du contrat entre vous et votre client.
  • Gestion de vos affaires, devis et chantiers (suivi du cycle de vie d'une prestation) — exécution du contrat entre vous et votre client.
  • Prise de rendez-vous avec votre client — exécution du contrat entre vous et votre client.
  • Échange de messages avec votre client — exécution du contrat entre vous et votre client.
  • Émission et conservation de vos factures, conformité fiscale — obligation légale (Code général des impôts, Code de commerce) ; relance d'une facture impayée — exécution du contrat.
  • Envoi de l'export comptable à votre comptable, sur votre demande explicite (bouton « Envoyer au comptable ») — intérêt légitime (transmission de vos propres pièces comptables à votre mandataire).
  • Gestion de votre équipe et de vos sous-traitants (planification) — intérêt légitime de l'employeur, ou exécution du contrat de sous-traitance.
  • Conservation de vos devis signés, photos de chantier et procès-verbaux de réception — exécution du contrat entre vous et votre client pendant le suivi de l'affaire. Au-delà, il vous appartient de déterminer la base légale et la durée de conservation applicables à votre situation.
  • Gestion de vos achats et fournisseurs — exécution du contrat ; lecture par l'assistant, à votre demande, des mails de vos fournisseurs, loueurs et sous-traitants — exécution du contrat avec eux ou intérêt légitime de votre entreprise à suivre ses achats et ses chantiers.

Prestataires et services externes

Les services suivants interviennent selon les fonctionnalités que vous utilisez. Nos sous-traitants, d'abord :

  • Supabase — base de données et authentification, hébergées dans l'Union européenne (Paris).
  • Vercel — hébergement de l'application.
  • Resend — acheminement des e-mails transactionnels et réception des événements de remise et des e-mails entrants adressés au service.
  • Cloudflare — protection anti-robots (Turnstile) des formulaires.
  • OVHcloud — envoi des SMS (numéro du destinataire et contenu du message) ; et hébergement du serveur privé virtuel (VPS) sur lequel tournent Nango, Open-Meteo et nos outils internes (voir « Boîtes mail et agenda connectés »).
  • OpenSign — signature électronique des devis et avenants.
  • Telegram — alertes techniques internes à l'éditeur, pour la surveillance du service.
  • Nango — outil de connexion à Gmail, Google Agenda et Outlook, installé par nos soins sur notre propre serveur OVHcloud : il n’est pas exploité par un tiers et vos accès ne sont confiés à aucun autre prestataire de connexion.
  • Groq — transcription de l'audio lorsque la dictée utilise ce service de secours.
  • Anthropic — lorsque vous utilisez l'assistant ou la dictée de devis, deux fonctions qui ne sont pas ouvertes par défaut : pour l'assistant, votre question et les données de votre compte lues pour y répondre (clients et contacts, affaires, devis, factures, agenda, chantiers, équipe (membres, affectations, heures pointées et leur coût), achats, documents et catalogue) ; pour la dictée, le texte dicté, transformé en lignes de devis avec un extrait de votre catalogue (sans les prix) transmis pour reconnaître les ouvrages. Si vous avez connecté une boîte mail, l’assistant lit aussi les messages de cette boîte pour vous répondre : leur contenu, y compris les noms et coordonnées de vos clients, fournisseurs et sous-traitants qui y figurent, est alors transmis à Anthropic. Tant que vous n'utilisez ni l'assistant ni la dictée, rien ne lui est transmis.
  • ElevenLabs — lorsque vous parlez à l’assistant à voix haute : votre voix, sa transcription et les réponses de l’assistant lues à voix haute, y compris des extraits de vos mails. L’audio n’est pas conservé ; la transcription est supprimée chez ElevenLabs au bout de 90 jours. Tant que vous n’utilisez pas la voix, rien ne lui est transmis. Si vous activez la lecture de votre brief du matin, chaque phrase que vous écoutez (le texte affiché, qui peut contenir des noms de clients et des montants) lui est envoyée pour être lue ; ElevenLabs garde par défaut ce texte et l’audio dans son historique, et nous demandons leur suppression aussitôt la lecture produite.
  • GitHub — hébergement, dans un dépôt privé, de la copie de sauvegarde quotidienne de la base de données et des factures archivées. Ces fichiers sont chiffrés (AES-256) avant l’envoi ; la clé de chiffrement n’est jamais transmise à GitHub. Chaque copie est détruite au plus tard 30 jours après sa création.
  • Stripe — traitement des paiements lorsque vous utilisez le parcours de paiement.

Services publics et logiciel libre hébergé chez nous, sans compte ni contrat de sous-traitance :

  • Institut national de la statistique et des études économiques (INSEE, service public) — vérification du SIRET à l'inscription.
  • Open-Meteo — logiciel libre de données météorologiques, installé par nos soins sur notre propre serveur OVHcloud : il n’est pas exploité par un tiers. Il ne reçoit que des coordonnées géographiques (celles des chantiers et celle de l'adresse de votre entreprise) et ne les transmet à personne ; il télécharge lui-même des données de modèles météorologiques publiques.
  • Base Adresse Nationale (Géoplateforme IGN, service public) — autocomplétion et géocodage des adresses, sans compte.

Fournisseurs que vous choisissez vous-même, avec lesquels vous avez votre propre relation, lorsque vous les connectez :

  • Google — connexion « Continuer avec Google » ; et, si vous les connectez, accès à votre messagerie Gmail et à votre agenda Google (lecture, brouillons, envoi sur confirmation, rendez-vous) (voir « Boîtes mail et agenda connectés »).
  • Microsoft — si vous connectez votre messagerie ou votre agenda Outlook / Microsoft 365 (voir « Boîtes mail et agenda connectés »).
  • L’outil d’IA que vous connectez vous-même (par exemple ChatGPT ou Claude) — si vous l’autorisez à accéder à votre espace, il reçoit les données que vous lui demandez de lire, selon ses propres conditions. Cette connexion est de votre initiative ; vous la coupez à tout moment dans Réglages › Connexions IA.

Un ajout ou un remplacement de sous-traitant vous est annoncé par e-mail, 30 jours avant.

Chacun de ces prestataires traite les données selon les conditions de traitement qu’il publie. Plusieurs sont établis hors de l’Union européenne ou peuvent y recourir à des sous-traitants (notamment Vercel, GitHub, Stripe, Google, Microsoft, Cloudflare, Groq, Anthropic, ElevenLabs, Resend et Telegram) : les transferts de données qui en résultent reposent sur les garanties prévues au chapitre V du RGPD (décision d’adéquation ou clauses contractuelles types).

Durées de conservation : les données du compte et les données métier sont conservées pendant la durée du compte. À la clôture, elles sont supprimées ou anonymisées automatiquement, 14 jours après la demande de suppression, ou, pour un compte sans abonnement payant, après 24 mois sans connexion (voir « Vos droits »). Les copies de sauvegarde sont détruites par rotation au plus tard 30 jours après la suppression. Font exception les jetons de réinitialisation de mot de passe, supprimés automatiquement après 24 heures, les conversations avec l’assistant, supprimées automatiquement 90 jours après leur début et effacées dès qu’un client de l’entreprise est anonymisé, les mails relevés dans une boîte connectée, dont l'extrait est effacé au bout de 2 jours et la ligne (expéditeur, objet, date) au bout de 40 jours (l'assistant n'y lit que les mails de vos clients et ceux des fournisseurs, loueurs et sous-traitants de votre carnet dont l'adresse figure dans leur fiche, jamais ceux d'un expéditeur inconnu), les mails que vous transférez à votre adresse de transfert Alcaraz, supprimés automatiquement 90 jours après leur réception, et les factures et avoirs, conservés pour votre compte pendant 10 ans, sauf refus écrit de votre part (article L. 123-22 du code de commerce ; voir « Vos droits »).

Mails transférés : un mail que vous transférez est lu en entier, quel que soit son expéditeur, et attend votre décision dans « À valider ». Si vous l’ajoutez, son texte devient le premier message du fil de l’affaire créée et y est conservé comme les autres messages, pendant la durée du compte ; le texte est effacé de la demande d’origine dès cet ajout ; l’expéditeur, l’objet et la date restent au plus tard 90 jours après la réception. Si vous répondez « Ce n’est pas un client », le texte est effacé dès cette décision ; l’expéditeur, l’objet et la date restent, puis sont supprimés au plus tard 90 jours après la réception.

La preuve de votre acceptation des conditions (compte, version, date et heure) est conservée pendant la durée du compte, puis cinq ans après sa clôture, pour pouvoir l’établir en cas de litige.

Boîtes mail et agenda connectés

Vous pouvez connecter votre messagerie (Gmail, Outlook / Microsoft 365) et votre agenda à Alcaraz & Co. Cette connexion est facultative et ouverte progressivement. Une fois branchée, le service lit les messages de vos clients et ceux des fournisseurs, loueurs et sous-traitants de votre carnet dont l'adresse figure dans leur fiche, jamais ceux d'un expéditeur inconnu, ainsi que l'occupation de votre agenda ; à votre demande, l'assistant prépare des brouillons, envoie un message après votre confirmation (à un tiers de votre carnet, confirmation à chaque envoi) et crée des rendez-vous avec invitation de votre client. Ces messages contiennent des données personnelles de vos propres clients, fournisseurs et sous-traitants (souvent des personnes physiques) : à leur égard, vous restez responsable du traitement et nous agissons pour votre compte.

  • Où sont gardés vos accès. La connexion à Gmail, à Google Agenda et à Outlook passe par Nango, que nous avons installé sur notre propre serveur OVHcloud, situé en Allemagne (Union européenne). Avec Nango, vos accès y sont conservés chez nous, pas chez un prestataire de connexion. Les sauvegardes chiffrées de Nango sont conservées en France.
  • Ce que lit l’assistant. Le contenu des messages que l’assistant lit pour vous répondre est transmis à Anthropic, société américaine, pour être traité. Les en-têtes et extraits de messages transitent également par Vercel, notre hébergeur.
  • Boîtes connectées par identifiants (IMAP). Le mot de passe de la boîte est chiffré. Il est supprimé, avec les messages reçus de cette boîte, dès que vous la déconnectez, ou que vous êtes retiré de l'entreprise ou passez au rôle d'ouvrier. Si la connexion expire, le mot de passe chiffré est conservé jusqu'à ce que vous rebranchiez la boîte ou la déconnectiez.
  • Google : usage limité (Limited Use). L’utilisation et le transfert par Alcaraz & Co, vers toute autre application, des informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences de Limited Use. Les données Google ne servent qu’à fournir à votre compte les fonctions que vous avez activées ; elles ne sont ni vendues, ni utilisées pour de la publicité.
  • Vous pouvez retirer l’accès à tout moment depuis les réglages de votre compte Google ou Microsoft, ou en déconnectant la boîte dans Alcaraz & Co.

Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (articles 15 à 22 du RGPD). Pour les exercer, contactez l'éditeur (samuel@alcaraz-co.fr) ; l'exercice de ces droits est gratuit. Vous recevrez une réponse sous 1 mois (délai extensible à 3 mois pour une demande complexe). Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).

Si vous êtes utilisateur du service (compte artisan), la demande de suppression de compte se fait depuis Réglages › Mon compte. La demande de suppression du compte est exécutée automatiquement à l'issue d'un délai de grâce de 14 jours, pendant lequel le client peut l'annuler depuis Réglages › Mon compte. Un compte sans abonnement payant et sans connexion pendant 24 mois est supprimé de la même manière, après un e-mail d'avertissement envoyé 30 jours avant, avec un lien d'export. Un compte dont l'abonnement est payé n'est jamais supprimé pour inactivité.

À la suppression du compte, l'Éditeur remet au client l'export de ses factures et avoirs. Sauf refus écrit du client, l'Éditeur conserve ensuite ces seules pièces, avec les données strictement nécessaires à leur lecture, pour le compte du client et en qualité de sous-traitant, en archive non modifiable accessible uniquement pour les restituer au client ou les communiquer à l'administration, jusqu'à dix ans après la clôture de l'exercice concerné, puis les supprime. Toutes les autres données sont supprimées ou anonymisées, et les copies et sauvegardes sont détruites par rotation, au plus tard 30 jours plus tard. L'obligation légale de conservation reste celle du client.

Sécurité

Les échanges sont chiffrés en transit. Les données sont cloisonnées par entreprise au niveau de la base de données. L'accès est protégé par authentification. Les mots de passe des boîtes mail connectées par identifiants sont stockés chiffrés.

Cookies

Le service utilise uniquement des cookies strictement nécessaires (session d'authentification, sécurité). Aucun cookie publicitaire ou de mesure d'audience tierce n'est déposé à ce stade.