Introduction
Chez ForgeTheWeb, nous attachons une importance particulière à la protection de vos données personnelles. La présente politique de confidentialité a pour objectif de vous informer sur la manière dont nous collectons, utilisons et protégeons vos données lorsque vous utilisez notre site web et nos services.
Principes relatifs à la collecte et au traitement des données personnelles
Nous nous engageons à traiter vos données personnelles de manière licite, loyale et transparente, conformément aux réglementations en vigueur (RGPD et loi française).
Données personnelles collectées
Nous collectons les informations suivantes :
- Données d'identification : nom, prénom, adresse email, numéro de téléphone, adresse postale
- Données professionnelles : nom de l'entreprise, SIRET, fonction
- Données de connexion : adresse IP, logs de connexion, identifiants
- Données d'utilisation : actions effectuées dans l'application, préférences
- Données de paiement : traitées par notre prestataire Stripe (nous ne stockons pas vos numéros de carte)
- Données métier : documents, fichiers et informations saisies dans l'application Orizen
Bases légales des traitements
Chaque traitement de données personnelles repose sur une base légale conforme au RGPD (article 6) :
| Finalité | Base légale | Article RGPD |
|---|---|---|
| Exécution du contrat d'abonnement Orizen | Exécution du contrat | Art. 6.1.b |
| Facturation et comptabilité | Obligation légale | Art. 6.1.c |
| Support technique et assistance | Exécution du contrat | Art. 6.1.b |
| Amélioration des services (analytics) | Intérêt légitime | Art. 6.1.f |
| Communication marketing (newsletter) | Consentement | Art. 6.1.a |
| Sécurité et prévention des fraudes | Intérêt légitime | Art. 6.1.f |
| Preuve des signatures électroniques recueillies | Intérêt légitime (preuve du contrat) / Obligation légale (conservation) | Art. 6.1.f / Art. 6.1.c |
| Cookies analytiques | Consentement | Art. 6.1.a |
| Réponse aux demandes de contact | Intérêt légitime / Consentement | Art. 6.1.f / Art. 6.1.a |
Finalités du traitement
Les données collectées sont utilisées pour :
- Fournir et administrer le service Orizen (création de compte, accès aux fonctionnalités)
- Répondre aux demandes de contact et de devis
- Gérer la relation client (facturation, support, communication)
- Améliorer nos services (analyse d'utilisation, développement de nouvelles fonctionnalités)
- Assurer la sécurité du service (prévention des fraudes, détection des anomalies)
- Respecter nos obligations légales (conservation comptable, réponse aux autorités)
- Prouver les signatures électroniques recueillies sur la plateforme (dossier de preuve horodaté)
Durées de conservation des données
Vos données personnelles sont conservées pendant les durées suivantes :
| Type de données | Durée de conservation | Justification |
|---|---|---|
| Données d'identification (nom, prénom, email) | Durée du contrat + 3 ans | Prescription légale |
| Données de facturation | 10 ans | Obligation comptable (Code de commerce) |
| Données de connexion (logs) | 1 an | Obligation LCEN |
| Données d'utilisation (analytics) | 13 mois | Recommandation CNIL |
| Données de prospection (contacts non-clients) | 3 ans après le dernier contact | Recommandation CNIL |
| Données métier (CRM, projets, documents Orizen) | Durée du contrat + 90 jours | Période de récupération post-résiliation |
| Données métier d'un essai gratuit non suivi d'un abonnement | Fin de l'essai + 30 jours | Période de réactivation de l'essai |
| Contenu des messages de messagerie (corps et pièces jointes) | 12 mois glissants | Minimisation des données (RGPD Art. 5) |
| Preuves de signature électronique : nom, e-mail, adresse IP, navigateur, date et heure de chaque étape, consentement, empreintes des documents | 10 ans après la signature | Preuve de la signature (C. civ. art. 1366-1367), prescription commerciale et pièces comptables (C. com. art. L110-4 et L123-22) |
| Cookies analytiques | 13 mois maximum | Recommandation CNIL |
À l'issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible.
Sous-traitants et destinataires des données
Vos données peuvent être transmises aux sous-traitants suivants, dans le cadre de l'exécution du service :
| Sous-traitant | Finalité | Localisation | Garanties |
|---|---|---|---|
| OVH SAS | Hébergement des données et de l'application | France (UE) | ISO/IEC 27001 pour les services concernés (voir ovhcloud.com) |
| Stripe, Inc. | Traitement des paiements par carte bancaire | USA / Irlande | Data Privacy Framework (DPF), PCI-DSS |
| Brevo (ex-Sendinblue) | Envoi d'emails transactionnels et marketing | France (UE) | Conforme RGPD |
| Cloudinary | Stockage et traitement d'images | USA / UE | Data Privacy Framework (DPF) |
| Mistral AI | Traitement des requêtes adressées à l'assistant Orizen | France (UE) | Sous-traitant établi dans l'Union européenne |
| OpenAI | Lecture des images de pièces jointes et repli de l'assistant Orizen | USA / UE | Data Privacy Framework (DPF) |
| Anthropic | Repli de l'assistant Orizen (modèles Claude) | USA | Clauses contractuelles types (CCT) de la Commission européenne |
| Resend | Envoi des e-mails transactionnels de la plateforme | USA | Data Privacy Framework (DPF) et clauses contractuelles types |
| Twilio | Envoi des SMS (un sous-compte propre à chaque client) | USA | Data Privacy Framework (DPF) |
| GoCardless SAS | Prélèvements SEPA (mandats et encaissements) | France (UE) | Prestataire de paiement établi dans l'Union européenne |
Transferts hors Union Européenne : Lorsque des données sont transférées vers des pays tiers (notamment les États-Unis), nous nous assurons que des garanties appropriées sont en place :
- Adhésion au Data Privacy Framework (DPF) UE-USA
- Clauses contractuelles types de la Commission européenne
Nous ne vendons jamais vos données personnelles à des tiers.
Données issues des services Google
Origine et consentement
Orizen n'accède à aucune donnée Google tant que vous n'avez pas établi vous-même la connexion, depuis les réglages d'agenda ou de messagerie de votre espace client. Ces deux réglages empruntent des chemins distincts. Votre agenda se connecte via le protocole OAuth 2.0 : Google vous présente sur son écran de consentement les autorisations demandées et recueille votre accord. Votre messagerie se connecte par les protocoles IMAP et SMTP, au moyen d'un mot de passe d'application que vous générez vous-même depuis votre compte Google, sans qu'aucune autorisation Google ne soit demandée. Dans les deux cas, aucune donnée n'est collectée avant votre accord, et vous pouvez le retirer à tout moment : en révoquant l'accès d'Orizen depuis votre compte Google pour l'agenda, en supprimant le mot de passe d'application pour la messagerie.
Données consultées
Orizen demande les autorisations (scopes) Google strictement nécessaires à la synchronisation de votre agenda, et aucune autre. Aucune autorisation Gmail n'est demandée, votre messagerie ne passant pas par une API Google :
- https://www.googleapis.com/auth/calendar.events : lecture et écriture des événements de vos agendas (titre, description, dates, lieu, participants). C'est cette autorisation qui rend la synchronisation bidirectionnelle possible.
- https://www.googleapis.com/auth/calendar.calendarlist.readonly : lecture seule de la liste des agendas auxquels vous êtes abonné, afin de vous laisser choisir ceux que vous souhaitez synchroniser.
- https://www.googleapis.com/auth/userinfo.email : adresse email du compte Google connecté, afin d'identifier cette connexion dans l'interface d'Orizen.
Votre messagerie Gmail ne relève d'aucune de ces autorisations : Orizen se connecte à votre boîte par les protocoles IMAP (relève des messages) et SMTP (envoi), au moyen d'un mot de passe d'application que vous générez vous-même depuis votre compte Google. Par ce canal, Orizen lit vos messages et leurs pièces jointes, modifie leur état dans votre boîte lorsque vous le demandez (marquer comme lu, étoiler, archiver, mettre à la corbeille) et envoie, depuis votre propre adresse, les messages que vous rédigez dans Orizen. Orizen ne supprime jamais définitivement un message. Vous coupez cet accès à tout moment en supprimant ce mot de passe d'application depuis votre compte Google.
Utilisation
Les données issues de votre compte Google servent exclusivement à :
- Afficher votre agenda Google dans Orizen
- Propager dans Google Agenda les événements que vous créez, modifiez ou supprimez dans Orizen
- Afficher, rechercher et trier votre courrier dans Orizen, et y appliquer les actions que vous demandez
- Résumer un message, proposer un brouillon de réponse et signaler les relances à faire
- Repérer une facture ou un devis dans une pièce jointe, afin de vous proposer de l'enregistrer en comptabilité
- Alimenter l'assistant Orizen lorsque vous l'interrogez sur votre agenda ou qu'il prépare un briefing pour vous
Ces données ne sont utilisées à aucune fin publicitaire. Elles ne sont ni vendues, ni louées, ni transmises à des courtiers en données.
Stockage
Les événements synchronisés sont enregistrés dans la base de données d'Orizen, hébergée en France chez OVH (voir la section Hébergement des Données). Orizen en conserve le titre, la description, les dates et heures de début et de fin, le caractère journée entière, le lieu, le lien de visioconférence, la règle de récurrence et les identifiants techniques nécessaires au rapprochement avec Google. La liste des participants n'est pas conservée. Les jetons OAuth délivrés par Google sont chiffrés au repos.
Les messages relevés dans votre boîte sont enregistrés dans la même base, hébergée en France chez OVH. Orizen en conserve l'expéditeur, les destinataires, l'objet, la date, le corps du message et ses pièces jointes, ainsi que les identifiants techniques nécessaires à la reprise de la relève. Les jetons OAuth et les mots de passe d'application sont chiffrés au repos.
Partage
Lorsque vous sollicitez l'assistant Orizen, et lorsque les fonctions décrites ci-dessus s'exécutent, le contenu strictement nécessaire est transmis au fournisseur du modèle de langage qui produit le résultat, pour cette seule opération : le contenu d'agenda utile à la réponse, le corps du message concerné, ou l'image de la pièce jointe à lire. Ces données ne sont pas utilisées pour entraîner un modèle. En dehors de ces cas, aucune donnée issue des API Google n'est transmise à un tiers, et elle n'est jamais vendue, louée ni transmise à un courtier en données. Les fournisseurs concernés sont nommés dans la section Sous-traitants.
Ces traitements automatiques ne s'exécutent qu'après votre consentement explicite à l'assistant IA. Sans ce consentement, ou après son retrait depuis les paramètres de votre compte, aucun contenu de courrier ni d'agenda n'est transmis à un fournisseur de modèle de langage.
Conservation et suppression
La déconnexion de votre compte Google depuis Orizen révoque le jeton auprès de Google et efface les jetons conservés par Orizen : la synchronisation s'arrête immédiatement. Vous pouvez également révoquer cet accès à tout moment depuis les paramètres de sécurité de votre compte Google. Les événements déjà synchronisés restent dans votre espace Orizen après la déconnexion, afin que votre historique ne disparaisse pas ; ils relèvent alors de la durée de conservation des données métier indiquée plus haut.
La déconnexion d'une boîte de messagerie efface les identifiants que conserve Orizen et arrête immédiatement la relève. Les messages déjà relevés et leurs pièces jointes sont supprimés avec la boîte, à l'exception des documents que vous avez explicitement enregistrés en comptabilité, qui relèvent alors de l'obligation légale de conservation des pièces comptables.
Le contenu des messages, corps et pièces jointes, est effacé au bout de 12 mois glissants par une purge automatique quotidienne. L'en-tête du message, soit l'expéditeur, les destinataires, l'objet et la date, est conservé au-delà pour que votre historique reste lisible ; il relève alors de la durée de conservation des données métier indiquée plus haut. Un document que vous avez enregistré en comptabilité depuis une pièce jointe n'est pas concerné : il suit la conservation légale des pièces comptables.
Pour demander la suppression de l'ensemble de vos données, y compris les événements importés depuis Google, utilisez notre formulaire de suppression de données.
Conformité à la politique des API Google
L'utilisation et le transfert par Orizen des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d'usage limité (Limited Use).
Hébergement des données
Vos données sont hébergées en France, garantissant leur protection sous la juridiction européenne :
- Hébergeur : OVH SAS
- Adresse : 2 rue Kellermann – 59100 Roubaix – France
- Téléphone : +33 9 72 10 10 07
- Site : www.ovh.com
- Certifications : certifications de l'hébergeur OVHcloud consultables sur ovhcloud.com (ISO/IEC 27001 pour les services concernés)
Responsable du traitement
ForgeTheWeb
6 place du Président Thomas Woodrow Wilson, 31000 Toulouse
Email : contact@forgetheweb.com
Droits des utilisateurs
Conformément au RGPD, vous disposez des droits suivants concernant vos données personnelles :
- Droit d'accès (Art. 15) : Obtenir la confirmation que vos données sont traitées et en recevoir une copie
- Droit de rectification (Art. 16) : Faire corriger les données inexactes ou incomplètes
- Droit à l'effacement (Art. 17) : Demander la suppression de vos données (« droit à l'oubli »)
- Droit à la limitation (Art. 18) : Demander la suspension du traitement de vos données
- Droit à la portabilité (Art. 20) : Recevoir vos données dans un format structuré et les transférer à un autre responsable de traitement
- Droit d'opposition (Art. 21) : Vous opposer au traitement de vos données, notamment à des fins de prospection commerciale ou de profilage
- Droit de retirer votre consentement : À tout moment, pour les traitements basés sur le consentement, sans que cela ne compromette la licéité du traitement antérieur
Comment exercer vos droits ?
Vous pouvez exercer vos droits de plusieurs manières :
- Par email : contact@forgetheweb.com
- Par courrier : ForgeTheWeb – Protection des données, 6 place du Président Thomas Woodrow Wilson, 31000 Toulouse
- Depuis votre espace client Orizen : Menu « Mon compte » > « Mes données personnelles »
Nous répondrons à votre demande dans un délai maximum de 30 jours à compter de sa réception. Ce délai peut être prolongé de deux mois en cas de demande complexe.
Réclamation auprès de la CNIL
Si vous estimez que le traitement de vos données ne respecte pas la réglementation applicable, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
- Site web : www.cnil.fr
- Adresse : CNIL – 3 Place de Fontenoy – TSA 80715 – 75334 PARIS CEDEX 07
- Téléphone : +33 1 53 73 22 22
Sécurité des données
Nous mettons en œuvre des mesures de sécurité appropriées pour protéger vos données.
Modification de la politique de confidentialité
Cette politique peut être modifiée à tout moment pour se conformer aux évolutions légales ou techniques. En cas de modification substantielle, nous vous en informerons par email ou via une notification dans l'application Orizen.
Nous vous invitons à consulter régulièrement cette page pour prendre connaissance des éventuelles mises à jour.