Politique de confidentialité

La présente politique décrit comment BoostYourBiz collecte, utilise et protège les données à caractère personnel des utilisateurs de la plateforme, conformément au Règlement (UE) 2016/679 (RGPD).

1. Responsable de traitement

BoostYourBiz — contact : privacy@boostyourbiz.be. Pour toute question relative à vos données, vous pouvez nous écrire à cette adresse, nous y répondons sous 30 jours.

2. Données collectées

• Identification du compte : email, nom, prénom, nom et adresse de l'entreprise, numéro de TVA, numéro de téléphone, métier.
• Données métier que vous saisissez : devis, factures, dépenses, photos de chantiers, contacts clients, prospects (leads), rendez-vous, notes.
• Paiements : traités exclusivement par Stripe (PCI-DSS) ; nous ne stockons aucun numéro de carte bancaire.
• Calendrier Google (optionnel, si vous activez la synchronisation) : accès en lecture/écriture limité aux événements que vous créez ou modifiez via BoostYourBiz. Aucun autre événement de votre agenda personnel n'est lu ni stocké.
• Logs techniques anonymisés (adresse IP tronquée, user-agent, erreurs) à des fins de sécurité et de diagnostic, conservés 90 jours.

3. Finalités du traitement

• Fournir le service souscrit (création de documents, envoi d'emails, paiements).
• Générer des suggestions et brouillons via IA (devis, captions sociales, qualification de leads).
• Synchroniser votre agenda professionnel si vous avez activé Google Calendar.
• Vous notifier (par email) d'événements importants : leads à recontacter, factures en retard, rappels de RDV.
• Sécurité : prévention de fraude, rate-limiting, détection d'abus.

Aucun partage à des tiers à des fins commerciales. Aucun profilage publicitaire.

4. Base juridique

• Exécution du contrat (article 6.1.b RGPD) : traitement nécessaire pour fournir le service.
• Obligation légale (article 6.1.c) : conservation comptable des factures (7 ans en Belgique).
• Consentement (article 6.1.a) : pour la connexion Google Calendar et l'envoi de communications non transactionnelles. Retirable à tout moment.

5. Hébergement & localisation

Base de données et fichiers : Supabase, région UE — Frankfurt (Allemagne). Site web : Vercel (réseau mondial CDN, pas de stockage persistant).

6. Sous-traitants

Chaque sous-traitant est encadré par un accord de traitement de données (DPA) et des clauses contractuelles types pour les transferts hors UE :

• Supabase Inc. — base de données, authentification et stockage de fichiers (UE-Frankfurt).
• Vercel Inc. — hébergement applicatif (États-Unis ; transfert encadré par CCT).
• Stripe Inc. & Stripe Payments Europe Ltd. — traitement des paiements (PCI-DSS ; UE/US ; CCT).
• Resend Inc. — envoi d'emails transactionnels (États-Unis ; CCT).
• Sendinblue SAS (Brevo) — envoi de communications marketing et campagnes (France).
• Anthropic PBC — modèles d'IA Claude (extraction de devis, OCR de factures, qualification de leads, génération de captions). Anthropic s'engage par contrat à ne pas réutiliser les données API pour entraîner ses modèles, et peut les conserver jusqu'à 30 jours pour des raisons opérationnelles et de sécurité (détection d'abus). Transferts vers les États-Unis encadrés par les Clauses Contractuelles Types.
• OpenAI Inc. — transcription vocale Whisper (si vous utilisez la dictée vocale ; États-Unis ; CCT).
• B2Brouter (Invinet Sistemes SL) — émission et transport Peppol / e-facturation (Espagne, UE).
• Sentry (Functional Software Inc.) — supervision technique et collecte d'erreurs applicatives ; les données personnelles sont masquées avant transmission (États-Unis ; CCT).
• Google LLC — Google Calendar API (uniquement si vous activez la synchronisation ; États-Unis ; CCT).
• Mapbox — autocomplétion d'adresse à l'inscription (États-Unis ; CCT).

7. Utilisation de l'API Google

L'utilisation par BoostYourBiz de l'information reçue depuis les API Google respecte la Google API Services User Data Policy, y compris les exigences de Limited Use. Concrètement :

• Le scope calendar.events est utilisé uniquement pour créer/modifier les RDV que vous créez via BoostYourBiz.
• Aucune donnée Google Calendar n'est partagée avec un tiers ni utilisée pour de la publicité.
• Aucune donnée Google Calendar n'est utilisée pour entraîner des modèles d'IA.
• Vous pouvez révoquer l'accès à tout moment depuis votre compte Google ou depuis l'onglet « Agenda » de votre dashboard.

8. Cookies et traceurs

Le site utilise les catégories suivantes :

• Cookies strictement nécessaires (exemptés de consentement) : session d'authentification Supabase (sb-*), préférences d'affichage, jeton CSRF, prévention de fraude Stripe sur les pages de paiement.
• Mesure d'audience first-party (Vercel Web Analytics et Vercel Speed Insights, sans cookie persistant ni partage tiers) : comptage de pages vues, performance technique. Ces outils sont fournis par Vercel Inc. (États-Unis ; CCT) et sont déclenchés au chargement du site. Vous pouvez vous y opposer via le bandeau cookies si activé, ou via la configuration « Do Not Track » de votre navigateur.
• Mesure d'audience interne : pour les pages publiques, nous stockons un identifiant haché et anonyme (hash SHA-256 IP+UA salté quotidiennement) et le pays / la ville déduits depuis l'adresse IP (via les en-têtes Vercel). Aucune donnée brute identifiable n'est conservée ; le sel tourne quotidiennement rendant impossible la corrélation d'une visite à l'autre.

Aucun cookie publicitaire ni de tracking inter-sites n'est posé.

Désactiver la mesure d'audience

Tu peux t'opposer à la mesure d'audience interne via le bouton ci-dessous. Le choix est stocké dans ton navigateur (clé byb-analytics-optout dans localStorage). Nous respectons également automatiquement les signaux Do Not Tracket Global Privacy Control envoyés par ton navigateur.

9. Vos droits (RGPD)

Vous disposez à tout moment des droits suivants : accès, rectification, effacement, portabilité, opposition, limitation, retrait du consentement. Vous pouvez les exercer par email à privacy@boostyourbiz.be.

Vous disposez également du droit d'introduire une réclamation auprès de l'Autorité de protection des données (APD) : autoriteprotectiondonnees.be.

10. Durée de conservation

• Données de compte : pendant toute la durée de l'abonnement.
• Données métier (devis, factures, dépenses) : 7 ans après émission (obligation comptable belge).
• Logs techniques : 90 jours.
• Après suppression du compte : 30 jours d'archivage technique, puis purge irréversible.

11. Suppression du compte

Vous pouvez supprimer votre compte à tout moment depuis l'espace « Mon profil ». La suppression entraîne la purge de toutes vos données dans un délai de 30 jours, sauf obligation de conservation légale (données comptables).

12. Modifications

Toute modification substantielle de cette politique vous sera notifiée par email au moins 30 jours avant son entrée en vigueur.