Politique de confidentialité

1. Introduction

La présente politique de confidentialité décrit comment Calantir (ci-après "VOX", "nous", "notre"), éditeur de l'application VOX, collecte, utilise et protège les données personnelles des utilisateurs, via www.vox.nc et la PWA associée.

VOX est une application de génération de devis vocaux destinée aux artisans. Nous protégeons la vie privée de nos utilisateurs et respectons la réglementation applicable, notamment le RGPD (Règlement UE 2016/679) et la loi française Informatique et Libertés modifiée.

2. Responsable de traitement

• Éditeur : Calantir (patente personnelle — Xavier Fabbro)
• Siège : voir mentions légales
• RIDET : voir mentions légales
• Directeur de la publication : Xavier Fabbro
• Contact général : contact@vox.nc
• Contact protection des données : dpo@vox.nc

3. Données personnelles collectées

3.1 Données fournies directement

• Données de compte : adresse email, mot de passe (stocké sous forme de hash Argon2id, jamais en clair), le bouton « S'inscrire » du site d'où vient votre inscription (par exemple « page des métiers »), sans cookie, pour savoir quelles pages amènent des artisans
• Données métier : corps de métier, informations société (raison sociale, SIRET, coordonnées affichées sur les devis), logo
• Catalogue personnel : prestations, prix, unités, descriptions ajoutées ou importées
• Données clients : nom, prénom, raison sociale, email, téléphone, adresse postale des clients à qui vous établissez des devis
• Contenu des devis : lignes, quantités, prix, métadonnées
• Texte des dictées : le texte de vos dictées et retouches, tel qu'il part à l'IA, est conservé avec le devis et le type d'appareil qui l'envoie (iPhone, téléphone Android, ordinateur) pour vérifier la qualité des devis produits. Il disparaît avec le devis ; il figure dans l'export de votre compte.
• Photos jointes à un devis : les photos que vous choisissez vous-même de joindre à un devis (« Joindre au devis »), par exemple l'état des lieux constaté chez votre client. Elles sont réduites et débarrassées de leurs métadonnées, position GPS comprise, dès l'envoi. Seuls vous (depuis votre compte) et votre client (par le lien du devis) les voient, ainsi que dans le PDF du devis ; aucune adresse publique ne les sert. Une photo de l'intérieur d'un client est une donnée personnelle : joignez-la avec son accord. Une photo prise pendant une dictée n'est jamais conservée.
• Signature du client sur votre téléphone : quand votre client signe un devis au doigt sur votre écran (« Faire signer ici »), VOX garde l'image de la signature, le nom saisi, la date et l'heure et l'empreinte du devis signé, comme preuve de son accord.
• Accord à l'abonnement : quand vous cochez la case de l'abonnement, VOX garde la date et l'heure, votre adresse IP, votre navigateur et la version des conditions acceptées, comme preuve de votre accord si un prélèvement est contesté auprès de votre banque. Ces informations figurent dans l'export de votre compte ; l'adresse IP et le navigateur sont effacés à sa suppression définitive.
• Façon de rédiger vos devis : à partir des devis et factures que vous importez et des corrections que vous apportez aux devis générés, VOX retient votre présentation, vos règles de calcul et vos temps de main-d'œuvre, pour rédiger les devis suivants comme vous. Ce profil ne contient ni prix ni coordonnées de vos clients ; il figure dans l'export de votre compte et disparaît avec lui.
• Vos ouvrages : ce que vous mettez avec chaque prestation et en quelle quantité (la colle avec la pose de carrelage, le déplacement), lu dans vos devis enregistrés et dans les devis que vous importez. VOX ne retient un ouvrage qu'avec votre accord ; vous le modifiez ou le supprimez dans Mon compte, Mes ouvrages. Vos ouvrages et les propositions en attente figurent dans l'export de votre compte et disparaissent avec lui.

3.2 Données traitées sans être conservées

Enregistrements vocaux : les fichiers audio captés lors de la dictée sont transmis pour transcription puis immédiatement supprimés. Aucun enregistrement vocal n'est conservé sur nos serveurs ni ceux de nos sous-traitants au-delà du temps strictement nécessaire à la transcription.

Photos d'un devis papier : les photos envoyées pour remplir le catalogue sont lues par l'IA en mémoire, sans être enregistrées sur nos serveurs, une première fois pour vos articles et leurs prix, une seconde pour vous proposer des ouvrages. La photo part entière : les coordonnées ou le RIB qui y figurent sont transmis avec elle. Photographiez de préférence le tableau des prix.

3.3 Connexion avec Google

Si vous choisissez « Continuer avec Google », VOX reçoit de Google votre identifiant de compte Google, votre adresse e-mail (vérifiée par Google) et votre nom, rien d'autre : ni vos contacts, ni vos e-mails, ni vos fichiers. Ces informations servent uniquement à créer votre compte VOX et à vous connecter. Elles ne sont ni revendues, ni partagées, ni utilisées pour de la publicité. Vous pouvez retirer l'accès de VOX depuis votre compte Google (myaccount.google.com, rubrique Sécurité) ; la suppression de votre compte VOX les efface.

3.4 Données collectées automatiquement

• Adresse IP, type de navigateur, OS, horodatage (logs serveur)
• Type d'appareil utilisé (téléphone, tablette ou ordinateur, avec son système), noté une fois par jour d'utilisation, sans adresse IP
• Données d'usage agrégées et anonymisées
• Cookies techniques (session, préférences) - pas de cookies publicitaires ni tracking tiers

4. Finalités du traitement

Nous traitons vos données pour :

• Création et gestion de votre compte (exécution du contrat)
• Génération de devis à partir de la dictée vocale, rédigés comme vous les rédigez
• Stockage de vos devis et catalogue
• Envoi des devis à vos clients
• Facturation de l'abonnement (via Mobupay)
• Sécurité et prévention de la fraude (intérêt légitime)
• Protection du service et de nos droits : repérer la copie non autorisée du site ou de l'application et les robots qui ne respectent pas nos règles (intérêt légitime)
• Amélioration du service via statistiques anonymisées
• Respect d'obligations légales (comptabilité, demandes d'autorité)

5. Sous-traitants

Vos données sont accessibles uniquement par les personnels habilités de VOX et par les sous-traitants suivants :

5.1 Techniques

• Hetzner Online GmbH (Allemagne, Union européenne) - Hébergement du serveur de l'application et de la base de données.
• Vercel Inc. (États-Unis) - Hébergement du site www.vox.nc (aucune donnée de compte).
• Resend (États-Unis) - Envoi des e-mails du service (bienvenue, lien pour choisir un nouveau mot de passe, alertes).
• Google LLC (États-Unis) - Connexion avec Google, si vous la choisissez : nom et adresse e-mail du compte Google.
• Sentry (Functional Software, Inc., données en Allemagne, Union européenne) - Rapports d'erreurs techniques du serveur : nature de l'erreur et page concernée, sans le contenu de vos devis, sans mot de passe, sans adresse IP.
• ImprovMX - Redirection des e-mails adressés à contact@vox.nc vers la boîte de l'éditeur.
• Mobupay (eZyness, établissement de paiement agréé ACPR n° 753911) — encaissement par carte. Les numéros de carte ne transitent pas par les serveurs de VOX.

5.2 IA

• Anthropic PBC (États-Unis) - Génération du devis structuré (modèle Claude). Données transmises : transcription textuelle de la dictée, extrait du catalogue utilisateur, profil de rédaction et lignes d'anciens devis sans prix ; texte des devis et factures que vous importez, photos des devis papier que vous envoyez pour remplir le catalogue et proposer vos ouvrages. Pas d'entraînement sur vos données (engagement contractuel API).
• OpenAI, L.L.C. (États-Unis) - Transcription audio des dictées sur Android et sur l'application iPhone installée. Données transmises : l'enregistrement et les mots que vous avez confirmés pour vos dictées. Fichier audio temporaire supprimé immédiatement après transcription.

Ces transferts vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le cadre Data Privacy Framework UE-USA.

5.3 Pas de revente, pas de publicité

Nous ne vendons jamais vos données. Nous ne pratiquons aucun tracking publicitaire et n'intégrons aucun outil tiers de publicité ciblée ou de profilage marketing.

6. Durées de conservation

• Compte actif : tant que le compte est ouvert
• Compte inactif (24 mois sans connexion) : suppression après notification préalable
• Devis, catalogue, clients après suppression du compte : 30 jours (récupération possible) puis suppression définitive
• Données de facturation : 10 ans (obligation comptable française)
• Preuve de l'accord à l'abonnement (date, adresse IP, navigateur, version des conditions) : tant que le compte existe ; l'adresse IP et le navigateur sont effacés à sa suppression définitive
• Logs techniques de connexion : 12 mois
• Enregistrements vocaux : non conservés
• Photos de devis papier : non conservées
• Photos jointes à un devis : un an après la fin du devis (signé, refusé ou arrivé au terme de sa validité), puis effacées ; effacées aussi avec le devis, à l'anonymisation du client ou à la suppression du compte
• Signature tracée au doigt : avec le devis signé ; effacée à l'anonymisation du client ou à la suppression du compte

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15)
• Droit de rectification (art. 16)
• Droit à l'effacement (art. 17)
• Droit à la limitation du traitement (art. 18)
• Droit à la portabilité (art. 20)
• Droit d'opposition (art. 21)
• Droit de retirer votre consentement à tout moment
• Droit de définir des directives post-mortem

Pour exercer vos droits : dpo@vox.nc. Réponse sous 30 jours maximum.

Vous pouvez également introduire une réclamation auprès de la CNIL : www.cnil.fr.

8. Sécurité des données

• Chiffrement en transit (TLS)
• Mots de passe hachés avec Argon2id (recommandé par l'OWASP)
• Sessions signées cryptographiquement (HttpOnly, Secure, SameSite Lax)
• Sauvegardes quotidiennes de la base de données
• Accès restreints aux personnels habilités
• Audits de sécurité et mises à jour réguliers

9. Cookies

Nous utilisons uniquement des cookies strictement nécessaires au service :

• vox_session - connexion à votre compte (durée : 7 jours au plus)

Pas de Google Analytics, pas de Facebook Pixel, pas de Hotjar. Aucun cookie de profilage ou publicitaire.

10. Mineurs

VOX est destiné à un usage professionnel par des artisans majeurs. Nous ne collectons pas sciemment de données de personnes de moins de 16 ans.

11. Modifications

Toute modification substantielle de cette politique vous est notifiée par email au moins 30 jours avant entrée en vigueur. La version en vigueur est toujours accessible à /privacy.

12. Contact

Pour toute question : dpo@vox.nc