Politique de confidentialité

Responsables de traitement

Pour les données de vos clients CHR (établissements, contacts, commandes, tournées) : l'organisation utilisatrice de BEVID est responsable de traitement au sens du RGPD. BEVID intervient en qualité de sous-traitant (article 28 RGPD), conformément aux instructions documentées du responsable.

Pour les données des utilisateurs de la plateforme (comptes, cookies, journal d'audit) : BEVID est responsable de traitement pour son propre fonctionnement (facturation, sécurité, statistiques anonymisées).

Données collectées

• Compte utilisateur : nom, email professionnel, rôle, préférences UI, langue, thème.
• Établissements CHR : raison sociale, SIREN/SIRET, adresse, contacts nominatifs, notes commerciales, historique de commandes.
• Terrain : géolocalisation ponctuelle lors des visites, comptes rendus texte et vocaux, signatures GPS.
• Documents : factures, bons de livraison, devis émis par l'organisation.
• Journal d'audit : actions sensibles (connexion, export, suppression) conservé pour la traçabilité.

Finalités

• Exécution du contrat d'abonnement au CRM (base : article 6.1.b RGPD — contrat).
• Sécurité et prévention de la fraude (base : article 6.1.f — intérêt légitime).
• Facturation et obligations comptables (base : article 6.1.c — obligation légale).
• Statistiques d'audience anonymisées (base : article 6.1.a — consentement, révocable à tout moment).

Destinataires

Vos données ne sont accessibles qu'à votre organisation (isolation multi-tenant stricte). Aucun partage commercial n'est effectué. Les sous-traitants techniques suivants interviennent, encadrés par des clauses conformes à l'article 28 RGPD :

• Emergent Labs (hébergement cloud, UE)
• Stripe (paiements, PCI-DSS)
• Twilio (WhatsApp/SMS, UE) — si activé par votre organisation
• Resend (emails transactionnels, UE)
• PostHog (analytics anonymisé, sur consentement)
• Anthropic / OpenAI / Google via Emergent Integrations (IA copilote, dictée vocale) — les données sont pseudonymisées avant transmission ; aucune donnée n'est utilisée pour l'entraînement.
• Pennylane (comptabilité) — uniquement si le connecteur est activé, sur clé API fournie par l'organisation.

Transferts hors UE

Les traitements d'IA (Anthropic, OpenAI, Google) peuvent impliquer des transferts vers les États-Unis. Ces transferts s'appuient sur les Clauses Contractuelles Types de la Commission européenne (décision 2021/914). Aucune donnée d'identification directe n'est transférée sans consentement.

Durées de conservation

• Compte actif : durée de l'abonnement + 3 ans après résiliation (obligations comptables, article L.123-22 du Code de commerce).
• Journal d'audit : 12 mois.
• Transcriptions vocales : durée choisie par l'organisation (7 à 90 jours).
• Cookies analytiques : 13 mois maximum.
• Sauvegardes chiffrées : 90 jours après suppression du compte.

Vos droits (personnes concernées)

Conformément aux articles 15 à 22 du RGPD, vous pouvez exercer vos droits :

• Accès : obtenir une copie de vos données.
• Rectification : corriger des données inexactes.
• Effacement : supprimer vos données (« droit à l'oubli »).
• Limitation : geler un traitement contesté.
• Opposition : refuser un traitement fondé sur l'intérêt légitime.
• Portabilité : recevoir vos données dans un format lisible par machine (JSON, XLSX).
• Retrait de consentement à tout moment (cookies analytiques).

Contact DPO : dpo@bevid-crm.fr. En cas d'insatisfaction : CNIL.

Sécurité

Chiffrement TLS 1.2+ en transit, chiffrement au repos sur les bases MongoDB Atlas UE, authentification par cookie httpOnly Secure SameSite=Lax, rate limiting progressif, journalisation des accès sensibles, hébergement dans l'Union européenne. Une politique interne de gestion des incidents permet la notification à la CNIL sous 72 heures en cas de violation susceptible d'engendrer un risque pour les personnes.