Politique de confidentialité

STREAM MANAGEMENT, Chez BM Business Office, 1 avenue des Béguines, 95800 Cergy, France, distributeur et exploitant d'OBUILD en France, est responsable de traitementpour les données qui lui sont propres : comptes utilisateurs, facturation des abonnements, preuve de l'acceptation des conditions, prospection, support, sécurité du service.

Pour les données que vous saisissez dans le logiciel — vos clients, vos salariés, vos chantiers — OBUILD agit comme sous-traitantau sens de l'article 28 du RGPD. Vous en restez responsable : c'est vous qui déterminez ce qui y est enregistré et pourquoi. Le distributeur ne traite ces données que sur votre instruction, pour faire fonctionner le service, dans les conditions de l'accord de traitement des données.

Le logiciel est édité par SOFT VALLEY SARL, établie au Sénégal. Elle intervient comme prestataire du distributeur pour le support de deuxième niveau : ses agents voient les conversations et tickets de support — votre nom, votre entreprise, vos messages et les captures que vous leur envoyez —, jamais vos données métier. Une personne de SOFT VALLEY SARLdispose en outre d'un compte d'administration de la plateforme, qui donne accès aux coordonnées des entreprises clientes, aux noms et adresses électroniques de leurs utilisateurs et à des données d'usage et financières agrégées. Le Sénégalne bénéficiant pas d'une décision d'adéquation, ces accès sont encadrés par les clauses contractuelles types de la Commission européenne.

Aucun délégué à la protection des données n'a été désigné. Toute question relative à vos données s'adresse à privacy@obuild.fr.

• Données de compte et d'entrepriseNom, prénom, adresse email, téléphone, raison sociale, SIRET, adresse. Collectées auprès de vous à l'inscription ; la raison sociale, le SIRET et l'adresse peuvent être pré-remplis depuis l'annuaire public des entreprises (recherche-entreprises.api.gouv.fr), à partir du nom ou du numéro que vous saisissez. Base légale : exécution du contrat.
• Preuve d'acceptation des conditionsVersions des documents acceptés, date et heure, adresse IP, navigateur et récapitulatif de la commande (formule, périodicité, prix hors taxes), à l'inscription et à chaque paiement. Base légale : intérêt légitime à prouver le contrat conclu.
• Données métier saisies dans le logicielClients, chantiers, devis, factures, personnel, pointages, photos, vidéos, enregistrements audio, documents, véhicules, et — si vous connectez ces services — opérations bancaires de votre compte Qonto et positions de vos véhicules. Base légale : exécution du contrat, sous votre responsabilité de responsable de traitement.
• Données de supportNom, entreprise, messages et captures d'écran que vous envoyez à l'assistance. Base légale : exécution du contrat.
• Données techniques et d'usageAdresse IP, horodatage des connexions, pages consultées, parcours de démarrage. Base légale : intérêt légitime à sécuriser et améliorer le service.

Aucune donnée n'est vendue, louée ou cédée à des tiers à des fins publicitaires. Aucune décision produisant des effets juridiques à votre égard n'est prise sur le seul fondement d'un traitement automatisé : les propositions de l'intelligence artificielle sont soumises à votre validation.

Les données sont hébergées dans l'Union européenne. Deux des hébergeurs sont des sociétés américaines, qui exploitent pour nous des serveurs situés en Europe ; le tableau l'indique avec la garantie qui s'applique. Le détail par composant :

Certaines fonctions reposent sur des prestataires spécialisés. Ceux établis hors de l'Union européenne interviennent, selon le prestataire, sur le fondement du cadre de protection des données UE–États-Unis (Data Privacy Framework) ou des clauses contractuelles types de la Commission européenne.

Les fonctions d'intelligence artificielle transmettent le contenu strictement nécessaire à la demande — le texte d'un devis à rédiger, une facture à lire, un enregistrement à transcrire. Le prestataire ne s'en sert pas pour entraîner ses modèles ; il peut les conserver jusqu'à 30 jours pour détecter les abus, puis les efface. Vous pouvez vous passer entièrement de ces fonctions : elles ne conditionnent aucun autre usage du logiciel.

Les services suivants ne sont sollicités que si vous les connectez vous-même, avec vos propres identifiants. Ce sont vos prestataires : OBUILD y lit des données sur votre instruction.

Le sort de votre compte et de vos données à la fin d'un abonnement, en cas d'abandon ou sur demande de suppression est décrit à l'article 10 des conditions générales de vente, qui fait référence. OBUILD n'archive pas vos pièces comptables pour votre compte : exportez-les et conservez-les vous-même pendant la durée légale.

Les échanges sont chiffrés en transit (TLS) et les données au repos sont chiffrées par les hébergeurs. Les mots de passe sont stockés sous forme d'empreintes bcrypt, jamais en clair. Chaque entreprise est isolée logiquement des autres : toute requête est filtrée par l'identifiant de son espace. Les accès sont journalisés. La base est sauvegardée chaque jour et les fichiers sont versionnés, pour les durées indiquées à l'article 5.

En cas de violation de données, deux situations sont distinguées. Pour les données que le distributeur traite pour son propre compte, il notifie la CNIL dans les 72 heures lorsque la violation présente un risque pour vos droits, et vous informe sans délai injustifié si ce risque est élevé. Pour les données que vous saisissez dans le logiciel, il vous alerte au plus tard 48 heures après en avoir pris connaissance (article 9 de l'accord de traitement des données) : c'est alors à vous, responsable de traitement, qu'il revient de notifier la CNIL et d'informer les personnes concernées.

Le site public et l'application n'utilisent que des cookies et traceurs strictement nécessaires, dispensés de consentement au titre de l'article 82 de la loi Informatique et Libertés :

• cookies de session, de sécurité et de préférences d'affichage ;
• Cloudflare Turnstile, sur le formulaire d'inscription uniquement, pour distinguer un humain d'un robot ;
• Google Maps, dans l'application, pour afficher les cartes et suggérer les adresses de chantier que vous saisissez.
• Sentry, dans l'application, le portail client et le formulaire d'inscription, pour détecter les erreurs techniques. Aucun cookie n'est déposé et aucune session n'est enregistrée : seule une erreur est transmise, avec les dernières pages ouvertes juste avant, sans le contenu que vous saisissez.

Aucun cookie publicitaire ni traceur de mesure d'audience n'est déposé.

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.

Ces droits s'exercent auprès de privacy@obuild.fr ou par courrier au siège social. Une réponse vous parvient sous un mois. Si la demande porte sur des données saisies par une entreprise cliente d'OBUILD, elle est transmise à cette entreprise, seule responsable de ce traitement.

Vous pouvez à tout moment introduire une réclamation auprès de la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.

Toute modification substantielle de cette politique vous est notifiée par email au moins 30 jours avant son entrée en vigueur. La version en ligne fait foi, et sa date de révision figure en tête de page.

L'application mobile OBUILD (iOS et Android) donne accès au logiciel depuis le chantier : pointage, photos et vidéos, tâches, congés, comptes rendus de visite et, pour l'encadrement, suivi des devis, de l'équipe et des factures fournisseurs. Elle est éditée par SOFT VALLEY SARL et distribuée et exploitée par STREAM MANAGEMENT, comme le reste du service : les articles précédents s'y appliquent intégralement. Cet article précise ce qui est propre à l'application.

Qui crée le compte, qui est responsable.On ne s'inscrit pas dans l'application : c'est l'entreprise cliente d'OBUILD — en général votre employeur — qui ouvre l'accès de ses salariés depuis le logiciel. Elle est responsable de traitement des données de son personnel et de ses chantiers ; STREAM MANAGEMENTles traite pour son compte, comme sous-traitant (article 1). Les données de connexion et la sécurité de l'application relèvent du distributeur, pour son propre compte.

• ConnexionNuméro de téléphone et code PIN. Le code n'est jamais conservé en clair : seule son empreinte bcrypt l'est. Après plusieurs codes erronés, l'accès est verrouillé temporairement. Les connexions sont journalisées (date, adresse IP) comme celles du logiciel. Base légale : exécution du contrat et intérêt légitime à sécuriser le service.
• AppareilUn identifiant aléatoire créé par l'application à la première connexion (il ne provient pas du matériel), le système (iOS ou Android), la version de l'application, la date de dernière utilisation et, si vous autorisez les notifications, le jeton qui permet de vous les adresser. Votre employeur voit la liste des appareils connectés à votre accès et peut les déconnecter. Base légale : exécution du contrat.
• Contenus saisis sur le chantierPointages (date, journée ou demi-journée, heures supplémentaires, chantier), demandes de congés, tâches et commentaires, photos et vidéos de chantier, enregistrements audio des réunions de chantier et leur transcription, factures et tickets scannés. Ce sont des données métier de l'entreprise cliente (article 2). Base légale : exécution du contrat, sous la responsabilité de l'entreprise cliente.

Localisation.L'application ne demande pas l'accès à la position de l'appareil et ne la collecte pas : le pointage n'enregistre aucune coordonnée. Le bouton « Itinéraire » ouvre l'application de cartes de votre téléphone avec l'adresse du chantier ; le calcul se fait alors chez ce service, hors d'OBUILD. Les métadonnées des photos de chantier (dont une éventuelle position enregistrée par l'appareil photo) sont supprimées lors de leur traitement par nos serveurs. Les factures et tickets scannés sont conservés à l'identique, puisqu'ils servent de pièces justificatives.

Autorisations de l'appareil.Chacune est demandée au moment où la fonction s'en sert, et peut être refusée ou retirée à tout moment dans les réglages du téléphone : seule la fonction concernée devient indisponible.

Comptes rendus audio.L'enregistrement d'une réunion de chantier est transcrit par intelligence artificielle (OpenAI, article 4) pour proposer un premier jet de compte rendu, que vous relisez et validez. Le fichier audio est supprimé 30 jours après sa transcription ; le texte reste attaché au compte rendu.

Notifications.Les notifications (rappel de pointage, changement de planning, réponse à une demande de congés…) sont acheminées par le service push d'Expo (article 4), puis par Apple (iOS) ou Google (Android). Leur texte peut contenir le nom d'un chantier ou d'un collègue. Les mises à jour de l'application sont également téléchargées depuis le service d'Expo.

Stockage sur l'appareil.Votre session, le dernier numéro saisi et l'identifiant de l'appareil sont gardés dans le trousseau sécurisé du téléphone (Keychain sur iOS, Keystore sur Android). Pour fonctionner sans réseau, l'application garde aussi une copie des écrans consultés et une file d'envoi : photos, vidéos, enregistrements et justificatifs saisis hors ligne y restent jusqu'à leur réception par le serveur, puis en sont retirés. La déconnexion efface la copie des écrans. Le déverrouillage par Face ID ou empreinte digitale est réalisé par le téléphone lui-même : aucune donnée biométrique n'est transmise à OBUILD.

Hébergement.L'application dialogue avec les mêmes serveurs que le logiciel (article 3) : données dans la base hébergée à Francfort ; photos, vidéos et enregistrements audio stockés chez Google Cloud, à Paris, comme les autres fichiers.

Ni publicité, ni suivi.L'application ne contient aucune publicité, aucun outil de mesure d'audience ni de suivi publicitaire, et n'utilise pas l'identifiant publicitaire de l'appareil. Aucune donnée n'est vendue ni partagée à des fins publicitaires. Si vous avez autorisé votre téléphone à partager ses rapports de plantage avec les développeurs, Apple ou Google peuvent nous transmettre ces rapports techniques ; ce partage se règle dans les réglages du téléphone.

Supprimer votre compte et vos données.Votre accès ayant été ouvert par votre employeur, c'est lui qui le ferme : il peut à tout moment retirer votre accès mobile et déconnecter vos appareils depuis le logiciel. Vous pouvez aussi demander directement la suppression de votre compte — numéro de téléphone, code PIN, appareils enregistrés — en écrivant à privacy@obuild.fr depuis n'importe quelle adresse, en indiquant le numéro de téléphone utilisé pour vous connecter. La demande est traitée sous un mois ; nous pouvons vous demander de confirmer qu'elle émane bien de vous. Les données que vous avez saisies pour votre employeur (pointages, photos, comptes rendus…) lui appartiennent et suivent ses propres durées de conservation : votre demande lui est transmise pour ce qui le concerne (article 8). Désinstaller l'application efface les données stockées sur le téléphone, mais pas votre compte.

Assistance.Pour une question sur le fonctionnement de l'application, rendez-vous sur support.obuild.fr. Les demandes relatives à vos données personnelles s'adressent à privacy@obuild.fr.