Politique de confidentialité
Version du 1er novembre 2026. Document susceptible d'être mis à jour.
1. Identité du responsable de traitement
- WT-ART SAS — Société par actions simplifiée
- SIREN 807 441 209 — RCS Grenoble — SIRET siège 807 441 209 00010
- Siège social : 12 rue Aristide Bergès, 38800 Le Pont-de-Claix, France
- Email général : contact@arsence.fr
- Email DPO : dpo@arsence.fr
2. Données collectées
2.1 Données d'inscription
- Adresse email
- Nom et prénom
- Mot de passe (stocké sous forme de hash cryptographique, jamais en clair)
2.2 Données professionnelles
- Nom de l'organisation
- Numéro SIRET
- Secteur d'activité
- Ville
- Numéro de téléphone
2.3 Données de contenu
- Conversations avec Max (l'agent IA)
- Historique des Validations
- Appels reçus par le standardiste vocal, si vous l'activez (numéro de l'appelant, transcription, résumé)
- Contenus créés ou générés (textes, publications, images, devis, factures, contacts CRM, événements d'agenda, documents de la bibliothèque)
2.4 Données de navigation et d'usage
- Logs d'accès (horodatage, pages consultées)
- Adresse IP anonymisée
- User agent (navigateur, OS)
- Événements d'usage produit (fonctionnalités utilisées, agrégats)
2.5 Données de facturation
- Historique des transactions (montants, dates)
- Identifiant client Stripe
- Aucune donnée de carte bancaire n'est stockée par WT-ART SAS ; celles-ci sont gérées exclusivement par Stripe.
2.6 Application mobile Arsence (iPhone et Android)
L'application mobile affiche le même Service que app.arsence.fr. Elle traite en plus les données suivantes, propres au téléphone.
- Données gardées sur le téléphone. Pour rester utilisable sans réseau, l'application garde sur votre téléphone une copie de votre agenda (de la veille aux quatorze jours suivants), d'au plus cinquante fiches clients, de trente devis récents (dont dix en PDF), des validations en attente et de l'écran « Aujourd'hui », ainsi que les dictées, messages, photos et notes d'appel qui attendent le retour du réseau pour partir. Cette copie reste dans l'espace privé de l'application, chiffré par le système du téléphone, et n'est transmise à personne. Elle est effacée quand vous vous déconnectez, quand vous touchez « Effacer » dans les réglages de l'application, après trente jours sans ouverture de l'application, et quand vous la désinstallez.
- Photos et localisation. L'application n'accède à votre position à aucun moment. Une photo de chantier que vous prenez ou choisissez peut toutefois contenir, dans ses métadonnées, le lieu où elle a été prise. Toute image publiable (site, réseaux sociaux, bibliothèque) en est débarrassée, avec les autres métadonnées (EXIF). Le fichier original, tel qu'envoyé, est conservé dans un espace privé, non public, réservé à votre organisation, pendant douze mois au plus, puis effacé ; il n'est jamais publié. La date de prise de vue sert à ranger la photo.
- Jetons de notification. Pour vous envoyer des notifications, l'application enregistre auprès de nos serveurs un identifiant technique de votre appareil délivré par Google Firebase Cloud Messaging (qui relaie vers Apple sur iPhone), avec la plateforme, le modèle de téléphone et la version de l'application. Ce jeton ne sert qu'aux notifications, n'est jamais écrit dans nos journaux, et il est supprimé à la déconnexion ou dès que Google ou Apple le déclare invalide. Par défaut, une notification affiche le détail (client, montant) sur l'écran verrouillé et transite par Google et Apple pour être acheminée ; le mode « discret », dans les réglages, n'envoie qu'un titre sans détail.
- Face ID et empreinte digitale. Le verrou de l'application est facultatif et désactivé par défaut. La reconnaissance est faite entièrement par le système de votre téléphone : Arsence ne reçoit, ne voit et ne conserve aucune donnée biométrique, seulement la réponse « reconnu » ou « non reconnu ».
- Appareil photo et micro. L'application ne les utilise que lorsque vous touchez « Photo chantier » ou le micro, et après votre autorisation dans le système. Les photos ne partent qu'après « Envoyer ». L'enregistrement d'une dictée est transcrit en texte (OpenAI, voir la liste des sous-traitants) puis effacé du téléphone ; l'audio n'est pas conservé sur nos serveurs.
- Connexion avec Apple. Si vous la choisissez, Apple nous transmet votre nom et une adresse e-mail, éventuellement une adresse relais masquée qui vous fait suivre nos messages.
3. Finalités du traitement
| Finalité | Base légale (RGPD) |
|---|---|
| Fournir le Service (création de compte, génération de contenu, gestion de la présence en ligne, CRM, agenda, devis et facturation) | Exécution du contrat (art. 6.1.b) |
| Facturation et gestion des abonnements | Exécution du contrat (art. 6.1.b) |
| Conservation des factures et documents comptables | Obligation légale (art. 6.1.c) |
| Amélioration du Service (analyse d'usage, performances), sécurité et lutte contre la fraude | Intérêt légitime (art. 6.1.f) |
| Diagnostic et correction des incidents signalés par Max ou par l'Utilisateur (conversation concernée et traces techniques du moment) | Exécution du contrat (art. 6.1.b) — CGU art. 8.1, désactivable dans Paramètres › Autonomie |
| Communication marketing (newsletters, annonces produit) | Consentement (art. 6.1.a) — opt-in uniquement |
4. Destinataires des données et sous-traitants
Les données peuvent être transmises aux sous-traitants suivants, dans le cadre strict de la fourniture du Service (liste à jour au 23 octobre 2026). La colonne « Quand » indique si le prestataire est sollicité en permanence ou seulement lorsque vous utilisez la fonction concernée.
| Sous-traitant | Usage | Quand | Localisation et garanties |
|---|---|---|---|
| Supabase | Base de données, authentification, stockage de fichiers | Toujours | Francfort, Allemagne (UE) |
| Fly.io | Hébergement du serveur applicatif (API, traitements de fond) | Toujours | Paris, France (UE) — société américaine, CCT |
| Vercel | Hébergement des pages web arsence.fr et app.arsence.fr | Toujours | Réseau mondial — société américaine, CCT et DPF |
| Cloudflare | DNS, réseau de diffusion, stockage de fichiers (R2), diffusion des sites de nos clients, protection anti-robots des formulaires | Toujours | Réseau mondial — société américaine, CCT et DPF |
| Upstash | Cache technique (limitation de débit, sessions courtes) | Toujours | Union européenne |
| Anthropic | Intelligence artificielle de Max : conversations, rédaction, lecture de documents | Toujours | États-Unis — CCT |
| OpenAI | Mémoire de Max (vectorisation des informations sur votre entreprise), dictée vocale, génération d'images selon le réglage, modèle de secours | Toujours | États-Unis — CCT |
| fal.ai | Génération d'images | Quand Max crée une image | États-Unis — CCT |
| Mistral AI | Lecture des documents scannés (OCR) et transcription de fichiers audio | Si la fonction est activée | Union européenne — société française |
| ElevenLabs | Standardiste vocal : voix de Max et transcription des appels reçus | Si vous activez le standardiste | États-Unis — CCT |
| Twilio | SMS de vérification (double authentification) et acheminement des appels du standardiste | Si la fonction est utilisée | États-Unis — CCT et DPF |
| Stripe | Paiement de l'abonnement et des recharges ; paiements de votre boutique en ligne | Dès un paiement | Irlande (UE) — transferts vers les États-Unis encadrés par CCT et DPF |
| Resend | E-mails envoyés par le service et réception des e-mails transférés vers votre adresse Arsence | Toujours | Union européenne (Irlande) — société américaine, CCT |
| Super PDP | Plateforme agréée de facturation électronique : transmission de vos factures | Quand vous transmettez une facture électronique | France (UE) |
| Infomaniak | Achat et gestion des noms de domaine | Si vous achetez un domaine avec Arsence | Suisse — décision d'adéquation de la Commission européenne |
| Pappers | Données publiques de votre entreprise (identité, dirigeants) lors de l'audit | À l'inscription et sur demande | France (UE) |
| INSEE et DINUM (API publiques) | Données publiques du répertoire Sirene de votre entreprise | À l'inscription et sur demande | France (UE) — administrations publiques |
| Connexion avec Google (si vous la choisissez) ; données publiques de votre établissement (Google Places) ; mesure de performance de votre site (PageSpeed) ; acheminement des notifications de l'application mobile (Firebase Cloud Messaging) | Selon l'usage | États-Unis — DPF et CCT | |
| Apple | Connexion avec Apple (si vous la choisissez) ; acheminement des notifications vers l'application sur iPhone (Apple Push Notification service) | Si vous utilisez l'application sur iPhone | Irlande (UE) et États-Unis — CCT |
| Ayrshare | Publication sur vos réseaux sociaux | Si vous connectez vos réseaux sociaux | États-Unis — CCT |
| PostHog | Mesure d'usage du produit, sans cookie publicitaire | Toujours | Union européenne |
| Sentry | Suivi des erreurs techniques de l'application et du serveur | Toujours | États-Unis — CCT |
| Honeycomb | Traces techniques des requêtes (durées, erreurs), sans contenu | Toujours | États-Unis — CCT |
| Langfuse | Suivi de la qualité et du coût des réponses de Max (outil auto-hébergé) | Si la fonction est activée | Union européenne (serveur dédié) |
| Doppler | Coffre-fort des secrets techniques (aucune donnée utilisateur) | Toujours | États-Unis — CCT |
Services que vous connectez vous-même
Lorsque vous reliez Arsence à vos propres comptes (Etsy, Ankorstore, vos comptes de réseaux sociaux), Max y transmet, à votre demande, les informations nécessaires (fiches produit, publications, commandes). Ces services traitent alors les données selon leurs propres conditions, que vous avez acceptées en ouvrant votre compte chez eux.
Transferts hors UE (art. 44-49 RGPD)
Les données principales sont hébergées dans l'Union européenne (base de données à Francfort, serveur applicatif à Paris). Certains traitements ont toutefois lieu hors de l'Union européenne, en particulier les traitements d'intelligence artificielle (Anthropic, OpenAI, fal.ai), réalisés aux États-Unis. Chaque transfert vers un pays tiers est encadré par :
- les Clauses Contractuelles Types (CCT / SCC) adoptées par la Commission européenne dans sa décision d'exécution (UE) 2021/914 du 4 juin 2021, intégrées aux Data Processing Agreements des prestataires concernés ; et/ou
- la certification du prestataire au Data Privacy Framework UE-US (DPF), couvert par la décision d'adéquation de la Commission européenne du 10 juillet 2023, lorsque le prestataire y est inscrit (notamment Google, Cloudflare, Twilio).
Cas particulier de l'authentification Google : si l'Utilisateur choisit « Continuer avec Google », seules les données d'authentification (adresse email, nom d'affichage, photo de profil le cas échéant) transitent par Google LLC. Ce mode de connexion ne transmet à Google aucune donnée de contenu.
Aucune cession de données à des tiers à des fins commerciales.
5. Durée de conservation
| Type de données | Durée |
|---|---|
| Compte actif | Durée de l'utilisation du Service |
| Compte supprimé (demande d'effacement) | Purge définitive sous 30 jours maximum |
| Compte inactif | 24 mois d'inactivité, puis suppression |
| Logs de navigation | 12 mois |
| Journaux d'audit (actions d'administration) | Durée nécessaire à la sécurité et à la traçabilité |
| Photos de chantier envoyées depuis l'application : fichier original | 12 mois, puis effacement |
| Jetons de notification de l'application mobile | Jusqu'à la déconnexion, ou jusqu'à ce que Google ou Apple les déclare invalides |
| Données gardées sur le téléphone | Jusqu'à la déconnexion, à « Effacer » ou à trente jours sans ouverture de l'application |
| Données de facturation (factures) | 10 ans (obligation légale comptable, art. L123-22 du Code de commerce) — y compris après suppression du Compte |
6. Droits des Utilisateurs (RGPD art. 12 à 23)
Conformément au RGPD, l'Utilisateur dispose des droits suivants :
- Droit d'accès (art. 15) : copie de l'ensemble des données détenues.
- Droit de rectification (art. 16) : correction des données inexactes ou incomplètes.
- Droit à l'effacement (art. 17) : suppression du Compte depuis l'interface ou sur demande. Les données sont définitivement purgées sous 30 jours maximum, à l'exception des données soumises à une obligation légale de conservation (factures : 10 ans).
- Droit à la portabilité (art. 20) : export de vos données dans un format structuré et lisible par machine (archive JSON), en un clic depuis votre profil dans l'application ; pour les fichiers déposés (photos, PDF) ou toute autre donnée, sur demande auprès du DPO.
- Droit d'opposition (art. 21) : opposition au traitement fondé sur l'intérêt légitime.
- Droit à la limitation (art. 18) : limitation du traitement dans les cas prévus par le RGPD.
Pour exercer un droit : dpo@arsence.fr. WT-ART SAS s'engage à répondre dans un délai maximum de 30 jours.
Supprimer votre compte et vos données
Depuis l'application (app.arsence.fr, iPhone ou Android) : menu « Paramètres », onglet « Profil », bouton « Supprimer mon compte ». Vous pouvez aussi écrire à dpo@arsence.fr depuis l'adresse de votre compte. La suppression devient définitive après trente jours, pendant lesquels vous pouvez l'annuler ; tout est alors effacé, sauf les factures, conservées dix ans par obligation légale.
7. Sécurité
- Chiffrement en transit : TLS (HTTPS) sur toutes les communications.
- Chiffrement au repos : données Supabase/PostgreSQL chiffrées at-rest, Row Level Security actif.
- Authentification : connexion Google ou Apple, ou email + mot de passe stocké sous forme de hash cryptographique.
- Accès d'administration : accès restreint, authentification multi-facteurs (MFA) et journaux d'audit des actions sensibles.
- Tokens : JWT avec rotation régulière.
8. Cookies
La présente section tient lieu de politique cookies du Service.
8.1 Cookies essentiels
Le Service dépose uniquement des cookies strictement nécessaires à son fonctionnement (authentification, maintien de session, sécurité). Conformément à l'article 82 de la loi Informatique et Libertés et aux lignes directrices de la CNIL, ces cookies sont exemptés de consentement — c'est pourquoi aucun bandeau de consentement n'est affiché.
8.2 Mesure d'audience et analytics
La mesure d'usage du produit repose sur des événements envoyés côté serveur à PostHog (instance hébergée en Union Européenne), sans cookie publicitaire ni traceur tiers déposé sur votre navigateur.
8.3 Cookies publicitaires et tiers
Aucun cookie publicitaire, de profilage ou de réseau social tiers n'est utilisé sur arsence.fr ni sur app.arsence.fr. Si des cookies soumis à consentement devaient être introduits à l'avenir, un bandeau de recueil du consentement serait mis en place au préalable.
9. Modifications
WT-ART SAS se réserve le droit de modifier la présente Politique de confidentialité. Toute modification substantielle sera notifiée à l'Utilisateur au moins 30 jours avant son entrée en vigueur, par email ou notification dans le Service.
10. Réclamation
En cas de difficulté relative au traitement de vos données personnelles, vous pouvez adresser une réclamation à la Commission Nationale de l'Informatique et des Libertés (CNIL) :
- Site web : www.cnil.fr
- Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07