1. Qui est responsable de vos données
Le responsable du traitement est Raison sociale : à compléter, éditeur d’Airval (voir les mentions légales).
Pour toute question sur vos données : confidentialite@airval.example.
Pour les documents que vous déposez et qui contiennent des données de tiers (clients, salariés, prestataires), c’est votre entreprise qui en est responsable ; Airval les traite pour votre compte, en qualité de sous-traitant, selon les conditions d’utilisation.
2. Les données que nous traitons
- Votre compte : adresse e-mail, mot de passe (conservé uniquement sous forme d’empreinte argon2id, jamais en clair), date de confirmation de l’adresse.
- Votre organisation : son nom, ses membres et leur rôle (propriétaire, administrateur, membre).
- Votre entreprise : nom, SIREN, forme juridique, date de création, et les fichiers que vous déposez dans la data room (fichier des écritures comptables, export des factures Stripe, contrats, statuts…).
- Sécurité : adresse IP, navigateur, dates de connexion, et un journal des actions sensibles (connexion, déconnexion, téléchargement d’un document, changement de rôle).
- Lettre d’information : adresse e-mail, adresse IP et date de la demande, date de confirmation.
3. Pourquoi, et sur quelle base
| Finalité | Base légale |
|---|---|
| Fournir le service : compte, data room, calculs, score | Exécution du contrat |
| Sécuriser le service : sessions, journal d’audit, limitation des tentatives | Intérêt légitime (protéger vos données et le service) |
| Facturer les offres payantes | Obligation légale |
| Envoyer la lettre d’information | Consentement, confirmé par e-mail |
| Répondre à vos messages | Intérêt légitime, ou mesures précontractuelles |
4. Combien de temps nous les gardons
- Compte, organisation, entreprise et documents : tant que votre compte est ouvert.
- Après la clôture du compte : suppression sous délai de suppression : à compléter, sauf obligation légale de conservation.
- Sessions de connexion : 30 jours au plus, puis effacées 7 jours après leur expiration ou leur révocation.
- Liens de confirmation d’adresse : valables 24 heures, effacés 7 jours après.
- Compteurs anti-abus : effacés dès la fin de leur fenêtre, une heure au plus.
- Journal d’audit : durée de conservation : à compléter.
- Lettre d’information : jusqu’à votre désinscription ; une demande non confirmée est effacée au bout de 7 jours.
- Pièces comptables liées à la facturation : 10 ans, comme l’exige le Code de commerce.
5. Qui y a accès
Vos données ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires. Elles sont accessibles aux membres de votre organisation selon leur rôle, aux personnes habilitées de l’éditeur pour le support et la sécurité, et à nos sous-traitants :
- Hébergement : hébergeur : à compléter.
- Envoi des e-mails : prestataire d’envoi : à compléter.
- Paiement des offres payantes : prestataire de paiement : à compléter.
- Lecture assistée des documents : Anthropic (États-Unis). Cette fonction est désactivée par défaut ; lorsqu’elle est activée, seul le document concerné est transmis, et le résultat vous est toujours proposé avant d’être enregistré. Aucun chiffre de valorisation n’est produit par cette fonction.
6. Transferts hors de l’Union européenne
Lorsqu’un sous-traitant traite des données hors de l’Union européenne, le transfert est encadré par des garanties appropriées au sens des articles 44 et suivants du RGPD, comme les clauses contractuelles types de la Commission européenne.
7. Comment nous les protégeons
- Documents chiffrés au repos (AES-256-GCM), jamais accessibles par une adresse publique.
- Mots de passe conservés sous forme d’empreinte argon2id.
- Sessions révocables, dont la base ne garde qu’une empreinte.
- Accès par rôle, journal des téléchargements et des changements de rôle.
- Connexion chiffrée (HTTPS), en-têtes de sécurité stricts, limitation des tentatives de connexion.
Le détail est sur notre page Sécurité.
8. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, du droit de retirer votre consentement à tout moment, et du droit de définir des directives sur le sort de vos données après votre décès.
Écrivez-nous à confidentialite@airval.example : nous répondons dans un délai d’un mois. Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).
11. Modifications
Nous pouvons faire évoluer cette politique. La date de mise à jour figure en haut de la page ; en cas de changement important, nous vous prévenons par e-mail.