Politique de confidentialité

La présente politique décrit comment BOYOBIZ collecte, utilise et protège les données à caractère personnel des utilisateurs de la plateforme, conformément au Règlement (UE) 2016/679 (RGPD).

1. Responsable de traitement

BOYOBIZ — contact : privacy@boyobiz.com. Pour toute question relative à vos données, vous pouvez nous écrire à cette adresse, nous y répondons sous 30 jours.

2. Données collectées

• Identification du compte : email, nom, prénom, nom et adresse de l'entreprise, numéro de TVA, numéro de téléphone, métier.
• Données métier que vous saisissez : devis, factures, dépenses, photos de chantiers, contacts clients, prospects (leads), rendez-vous, notes.
• Paiements : traités exclusivement par Stripe (PCI-DSS) ; nous ne stockons aucun numéro de carte bancaire.
• Calendrier Google (optionnel, si vous activez la synchronisation) : écriture limitée aux événements que BOYOBIZ crée pour vos rendez-vous et chantiers, et lecture limitée à vos plages « occupé / libre ». Aucun autre événement de votre agenda personnel n'est lu ni stocké (détail et mesures de protection au § 7).
• Logs techniques anonymisés (adresse IP tronquée, user-agent, erreurs) à des fins de sécurité et de diagnostic, conservés 90 jours.

3. Finalités du traitement

• Fournir le service souscrit (création de documents, envoi d'emails, paiements).
• Générer des suggestions et brouillons via IA (devis, captions sociales, qualification de leads).
• Synchroniser votre agenda professionnel si vous avez activé Google Calendar.
• Vous notifier (par email) d'événements importants : leads à recontacter, factures en retard, rappels de RDV.
• Sécurité : prévention de fraude, rate-limiting, détection d'abus.

Aucun partage à des tiers à des fins commerciales. Aucun profilage publicitaire.

4. Base juridique

• Exécution du contrat (article 6.1.b RGPD) : traitement nécessaire pour fournir le service.
• Obligation légale (article 6.1.c) : conservation comptable des factures (7 ans en Belgique).
• Consentement (article 6.1.a) : pour la connexion Google Calendar et l'envoi de communications non transactionnelles. Retirable à tout moment.

5. Hébergement & localisation

Base de données et fichiers : Supabase, région UE — Frankfurt (Allemagne). Site web : Vercel (réseau mondial CDN, pas de stockage persistant).

6. Sous-traitants

Chaque sous-traitant est encadré par un accord de traitement de données (DPA) et des clauses contractuelles types pour les transferts hors UE :

• Supabase Inc. — base de données, authentification et stockage de fichiers (UE-Frankfurt).
• Vercel Inc. — hébergement applicatif (États-Unis ; transfert encadré par CCT).
• Stripe Inc. & Stripe Payments Europe Ltd. — traitement des paiements (PCI-DSS ; UE/US ; CCT).
• Resend Inc. — envoi d'emails transactionnels (États-Unis ; CCT).
• Sendinblue SAS (Brevo) — envoi de communications marketing et campagnes (France).
• Anthropic PBC — modèles d'IA Claude (extraction de devis, OCR de factures, qualification de leads, génération de captions). Anthropic s'engage par contrat à ne pas réutiliser les données API pour entraîner ses modèles, et peut les conserver jusqu'à 30 jours pour des raisons opérationnelles et de sécurité (détection d'abus). Transferts vers les États-Unis encadrés par les Clauses Contractuelles Types.
• OpenAI Inc. — transcription vocale Whisper (si vous utilisez la dictée vocale ; États-Unis ; CCT).
• SuperPDP — plateforme de dématérialisation partenaire (PDP) : émission et transport des factures électroniques Peppol / e-facturation (Union européenne).
• Sentry (Functional Software Inc.) — supervision technique et collecte d'erreurs applicatives ; les données personnelles sont masquées avant transmission (États-Unis ; CCT).
• Google LLC — Google Calendar API (uniquement si vous activez la synchronisation ; États-Unis ; CCT).
• Mapbox — autocomplétion d'adresse à l'inscription (États-Unis ; CCT).

7. Utilisation de l'API Google

L'utilisation par BOYOBIZ de l'information reçue depuis les API Google respecte la Google API Services User Data Policy, y compris les exigences de Limited Use. Concrètement :

• Le scope calendar.events est utilisé uniquement pour créer/modifier/supprimer dans votre agenda les RDV que vous créez via BOYOBIZ.
• Le scope calendar.freebusy est utilisé uniquement pour lire vos plages « occupé / libre » au moment de poser un RDV, afin d'éviter un double-booking. BOYOBIZ ne lit ni le titre, ni les participants, ni le contenu de vos événements Google, et n'en conserve aucune copie.
• Aucune donnée Google Calendar n'est partagée avec un tiers ni utilisée pour de la publicité.
• Aucune donnée Google Calendar n'est utilisée pour entraîner des modèles d'IA.
• Vous pouvez révoquer l'accès à tout moment depuis votre compte Google ou depuis l'onglet « Agenda » de votre dashboard.

7.1 Ce que nous conservons

• Jetons d'accès OAuth (access token, refresh token) et l'adresse e-mail du compte Google connecté, nécessaires pour écrire dans votre agenda sans vous redemander l'autorisation.
• L'identifiant technique de chaque événement Google créé par BOYOBIZ, rattaché au rendez-vous ou au chantier correspondant, pour pouvoir le mettre à jour ou le supprimer.
• Rien d'autre : les plages « occupé / libre » sont consultées à l'instant où vous posez un rendez-vous et ne sont jamais enregistrées ; le contenu de vos événements Google n'est jamais lu.

7.2 Comment nous protégeons ces données

• Chiffrement en transit : tous les échanges entre votre navigateur, BOYOBIZ et les API Google se font exclusivement en HTTPS (TLS).
• Chiffrement au repos : les jetons et identifiants sont stockés dans notre base de données Supabase, hébergée dans l'Union européenne (Frankfurt) et chiffrée au repos.
• Accès restreint : les jetons ne sont jamais transmis à votre navigateur ni à un tiers. Seul le code serveur de BOYOBIZ y accède, pour votre compte uniquement (isolation stricte par compte). Seul le propriétaire du compte peut connecter ou déconnecter l'agenda.
• Pas d'accès humain au fonctionnement normal : l'équipe BOYOBIZ n'accède à ces données que sur votre demande de support, et jamais aux jetons en clair.
• Journalisation sans données sensibles : les jetons et le contenu des agendas ne sont jamais écrits dans les journaux techniques ni transmis à notre outil de supervision (Sentry).
• Sous-traitants : ces données ne quittent pas nos hébergeurs (Supabase, Vercel) ; elles ne sont partagées avec aucun autre prestataire.
• Suppression : à la déconnexion de l'agenda, BOYOBIZ révoque les jetons auprès de Google et les efface immédiatement de sa base. À la suppression de votre compte, l'ensemble de ces données est purgé avec le compte (§ 11). Les événements déjà créés dans votre agenda Google vous appartiennent et restent sous votre contrôle.
• Incidents : en cas de violation de données susceptible de vous concerner, nous vous en informons ainsi que l'autorité de contrôle dans les délais prévus par le RGPD (articles 33 et 34).

8. Cookies et traceurs

Le site utilise les catégories suivantes :

• Cookies strictement nécessaires (exemptés de consentement) : session d'authentification Supabase (sb-*), préférences d'affichage, jeton CSRF, prévention de fraude Stripe sur les pages de paiement. En font partie les cookies de test d'affichage(byb_ab_h1) : ils mémorisent quelle version d'une page t'a été montrée, pour que tu revoies la même à ta prochaine visite. Ils contiennent une seule lettre, ne servent à aucune publicité et ne permettent aucun suivi d'un site à l'autre.
• Mesure d'audience first-party (Vercel Web Analytics et Vercel Speed Insights, sans cookie persistant ni partage tiers) : comptage de pages vues, performance technique. Ces outils sont fournis par Vercel Inc. (États-Unis ; CCT) et sont déclenchés au chargement du site. Vous pouvez vous y opposer via le bandeau cookies si activé, ou via la configuration « Do Not Track » de votre navigateur.
• Mesure d'audience interne : pour les pages publiques, nous stockons un identifiant haché et anonyme (hash SHA-256 IP+UA salté quotidiennement) et le pays / la ville déduits depuis l'adresse IP (via les en-têtes Vercel). Aucune donnée brute identifiable n'est conservée ; le sel tourne quotidiennement rendant impossible la corrélation d'une visite à l'autre.

Aucun cookie publicitaire ni de tracking inter-sites n'est posé.

Désactiver la mesure d'audience

Tu peux t'opposer à la mesure d'audience interne via le bouton ci-dessous. Le choix est stocké dans ton navigateur (clé byb-analytics-optout dans localStorage). Nous respectons également automatiquement les signaux Do Not Tracket Global Privacy Control envoyés par ton navigateur.

9. Vos droits (RGPD)

Vous disposez à tout moment des droits suivants : accès, rectification, effacement, portabilité, opposition, limitation, retrait du consentement. Vous pouvez les exercer par email à privacy@boyobiz.com.

Vous disposez également du droit d'introduire une réclamation auprès de l'Autorité de protection des données (APD) : autoriteprotectiondonnees.be.

10. Durée de conservation

• Données de compte : pendant toute la durée de l'abonnement.
• Données métier (devis, factures, dépenses) : 7 ans après émission (obligation comptable belge).
• Logs techniques : 90 jours.
• Après suppression du compte : 30 jours d'archivage technique, puis purge irréversible.

11. Suppression du compte

Vous pouvez supprimer votre compte à tout moment depuis l'espace « Paramètres ». La suppression entraîne la purge de toutes vos données dans un délai de 30 jours, sauf obligation de conservation légale (données comptables).

12. Modifications

Toute modification substantielle de cette politique vous sera notifiée par email au moins 30 jours avant son entrée en vigueur.