Politique de confidentialité
En vigueur au 29 septembre 2026.
Qui traite vos données
Tom Collon, éditeur de Chiffri — adresse à compléter — [email protected]
Deux situations distinctes
Vos données à vous, utilisateur. Nous en sommes responsables : votre adresse électronique, les informations de votre entreprise, vos réglages, vos journaux de connexion.
Les données de vos clients. Vous en êtes responsable ; nous les traitons pour votre compte et selon vos instructions. Les conditions sont fixées par le contrat de sous-traitance ci-dessous.
Ce que nous collectons et pourquoi
| Données | Pourquoi | Base légale | Conservation |
|---|---|---|---|
| Adresse électronique | vous identifier et vous connecter | exécution du contrat | durée du compte + 3 ans |
| Mot de passe | vous connecter ; il est conservé sous une forme illisible, même par nous | exécution du contrat | durée du compte |
| Informations de l'entreprise | les faire figurer sur vos documents, comme la loi l'exige, et vérifier votre SIRET dans le répertoire public de l'INSEE | exécution du contrat | durée du compte + 10 ans |
| Numéro SIREN, après la fin du compte | réserver l'essai gratuit à un seul par entreprise | intérêt légitime | 3 ans après le début de l'essai |
| Devis, factures, règlements | fournir le service | exécution du contrat | 10 ans (obligation comptable) |
| Textes dictés, devis fournisseurs lus, et propositions | produire vos lignes de devis et garder la trace de ce qui a été dicté ou lu | exécution du contrat | 3 ans |
| Journal des actions | inaltérabilité exigée par le code général des impôts | obligation légale | 6 ans |
| Journaux de connexion | sécurité | intérêt légitime | 12 mois |
Qui y a accès
Seuls vous et les membres de votre équipe que vous avez invités accédez aux données de votre entreprise. La séparation est appliquée au niveau de la base de données, et non seulement dans l'application.
L'éditeur n'y accède que si vous le demandez pour une assistance, ou si la loi l'exige.
Sécurité
Chiffrement des échanges et des données au repos, mot de passe conservé sous une forme illisible, adresse email confirmée par un code à usage unique, cloisonnement par entreprise appliqué dans la base, documents stockés dans des espaces privés accessibles uniquement par lien temporaire, journalisation horodatée des actions sensibles.
Vos droits
Accès, rectification, effacement, limitation, opposition, portabilité : écrivez à [email protected]. Réponse sous un mois.
Vous pouvez introduire une réclamation auprès de la CNIL.
Cookies
Chiffri n'utilise que les cookies strictement nécessaires à votre connexion. Aucun cookie publicitaire, aucun traceur tiers, aucune mesure d'audience. Aucun consentement n'est donc requis, et aucun bandeau ne vous est imposé.
Contrat de sous-traitance (RGPD, article 28)
Annexe aux conditions générales.
Rôles
Le Client agit en qualité de responsable de traitement pour les données personnelles de ses propres clients. Chiffri agit en qualité de sous-traitant.
Objet et durée
Chiffri traite ces données pour le seul compte du Client, aux fins d'établir, de transmettre et de conserver ses devis et factures, pendant toute la durée de l'abonnement.
Nature des traitements
Collecte, enregistrement, organisation, conservation, consultation, structuration, génération de documents PDF, transmission par courriel, archivage, effacement.
Données concernées
Identité et coordonnées des clients du Client — nom, raison sociale, adresse postale, adresse de chantier, téléphone, courriel, SIRET le cas échéant — objet et montant des travaux, informations de règlement, signatures électroniques et données de preuve associées.
Aucune donnée sensible au sens de l'article 9 du RGPD n'est traitée.
Obligations de Chiffri
- ne traiter les données que sur instruction documentée du Client, les présentes valant instructions initiales ;
- garantir la confidentialité : toute personne autorisée à y accéder est tenue au secret ;
- mettre en œuvre les mesures de sécurité décrites plus haut ;
- n'avoir recours à un sous-traitant ultérieur qu'après information du Client, qui dispose de trente jours pour s'y opposer et résilier ;
- aider le Client à répondre aux demandes d'exercice de droits et à ses obligations de sécurité, de notification de violation et d'analyse d'impact ;
- notifier toute violation de données au Client dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance ;
- mettre à disposition toute information nécessaire pour démontrer le respect du présent contrat et permettre des audits, dans la limite d'un audit par an et sous préavis raisonnable ;
- au terme du contrat, permettre au Client d'exporter ses données pendant trente jours, puis les supprimer, sous réserve des durées imposées par la loi.
Obligations du Client
- ne saisir que des données dont la collecte est licite ;
- informer les personnes concernées du traitement et de l'existence de Chiffri comme sous-traitant ;
- documenter ses instructions et veiller à leur conformité au RGPD ;
- tenir son registre des traitements.
Sous-traitants ultérieurs
| Prestataire | Rôle | Localisation |
|---|---|---|
| Supabase | base de données, comptes, stockage des documents | Irlande (Union européenne) |
| Railway | hébergement de l'application | Pays-Bas (Union européenne) |
| Cloudflare | nom de domaine, protection du site, réception des emails adressés à Chiffri | réseau mondial |
| Resend | envoi des emails | États-Unis |
| Anthropic | analyse du texte dicté et lecture des devis fournisseurs importés, pour proposer les lignes de devis | États-Unis |
| Iopole | plateforme agréée de facturation électronique (factures entre professionnels) | France |
Chiffri leur impose par contrat des obligations de protection équivalentes à celles du présent document.
Transferts hors Union européenne
Les données sont stockées dans l'Union européenne (Irlande et Pays-Bas). Plusieurs prestataires sont toutefois des sociétés établies hors de l'Union, ou y traitent des données : l'envoi des emails, la fonction de dictée et la lecture des devis fournisseurs passent par les États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne.
La dictée. La voix est transformée en texte par le téléphone ou le navigateur de l'utilisateur (Apple, Google…), selon leurs propres conditions : Chiffri ne reçoit que le texte. Ce texte est transmis à Anthropic pour proposer les lignes du devis ; il ne sert pas à entraîner ses modèles. Cette fonction peut être désactivée par le Client depuis ses réglages.
La lecture des devis fournisseurs. Lorsque l'utilisateur importe lui-même le devis d'un de ses fournisseurs (photo ou PDF), le document est transmis à Anthropic, le temps d'en lire les lignes (désignation, marque, référence, quantité, prix) ; il ne sert pas à entraîner ses modèles. Chiffri ne conserve pas le fichier : seulement le texte lu, comme trace de la lecture, et les lignes que l'utilisateur ajoute à son devis. Cette lecture se désactive avec la dictée, depuis les réglages.